Если вы читаете это, скорее всего, что-то уже вас насторожило. Батарея садится к обеду. Партнёр знает то, чего вы ему никогда не рассказывали. Телефон всю ночь был тёплым в кармане. Вы стали искать приложение, которое просканирует iPhone и скажет правду, и нашли в App Store десятки таких.

Вот чего не хотят объяснять те, кто продаёт эти приложения: на iPhone они не могут делать то, что, как вам кажется, они делают.

Почему антивирусы для iPhone не могут найти шпионское ПО

iOS помещает каждое приложение в изолированную среду. Приложение видит свои файлы и больше ничего. Оно не может читать данные других приложений, не может получить список процессов, запущенных на телефоне, и не может изучать системные файлы. Такое устройство системы — одна из причин, почему iPhone вообще трудно заразить, и это действительно хорошо для вас.

Но у медали две стороны. Та же стена, что не даёт вредоносному приложению прочитать ваш банковский клиент, не даёт и защитному приложению найти вредоносное. Полного сканирования системы на iOS просто не существует, потому что Apple этого не разрешает. Любой продукт в App Store, который рекламируют как антивирус для iPhone, в лучшем случае проверяет настройки Wi-Fi, предупреждает об опасных сайтах и сообщает, что ваша iOS устарела.

Важнее всего это как раз для тех угроз, которых вы опасаетесь. Наёмное шпионское ПО вроде Pegasus использует уязвимости глубоко в операционной системе — на уровне, который не может наблюдать ни одно приложение в изолированной среде. Инструмент, работающий внутри неё, ищет грабителя, сидя запертым в шкафу.

Так если сканировать с самого телефона нельзя, что же вы на самом деле можете сделать?

Пять проверок, которые вы проведёте сами за десять минут

Ни одна из них не даёт окончательного ответа. Все они стоят того, чтобы их провести, и некоторые уже помогали выявить реальные вторжения.

1. Поищите уведомление Apple об угрозе

Apple отслеживает кампании шпионского ПО государственного уровня и предупреждает людей, которые, по её данным, стали их целью. С 2021 года компания уведомила пользователей более чем в 150 странах; только одна кампания в апреле 2024 года затронула людей в 92 странах.

Войдите на account.apple.com и посмотрите, нет ли вверху страницы предупреждающего баннера. Apple также отправляет уведомления по электронной почте и через iMessage на адреса, привязанные к вашему Apple ID.

Одна важнейшая оговорка: раз эти уведомления пугают и широко известны, мошенники очень любят под них маскироваться. Настоящее уведомление Apple об угрозе никогда не просит перейти по ссылке, что-то установить, открыть файл или сообщить пароль. Если сообщение делает хоть что-то из этого, оно не от Apple. Проверьте сами: войдите на account.apple.com, введя адрес вручную.

2. Проверьте профили конфигурации

Профиль конфигурации — это законная функция iOS, позволяющая работодателю или учебному заведению управлять устройством. Это также один из немногих поддерживаемых способов установить на iPhone постоянную слежку без взлома, поэтому коммерческое сталкерское ПО иногда предлагает тому, у кого в руках ваш телефон, установить такой профиль.

Откройте «Настройки», затем «Основные», затем «VPN и управление устройством». На обычном личном iPhone этот экран пуст или содержит только профили, которые вы знаете по работе. Всё незнакомое требует объяснения, прежде чем вы это удалите.

3. Проверьте, к чему у ваших приложений есть доступ

Откройте «Настройки», затем «Конфиденциальность и безопасность», и пройдитесь по разделам «Службы геолокации», «Микрофон», «Камера», «Фото» и «Контакты». Здесь вы ищете не шпионское ПО. Вы ищете обычные приложения с необычными разрешениями, потому что самая распространённая форма слежки за телефоном — вовсе не экзотическая вредоносная программа. Это приложение для семейного доступа, сервис резервного копирования фотографий или приложение для заметок, которое кто-то установил и тихо привязал к своему аккаунту.

Заодно откройте «Настройки», нажмите на своё имя вверху и проверьте список устройств, на которых выполнен вход в ваш Apple ID. Незнакомое устройство означает, что кто-то может читать ваши резервные копии в iCloud, а в них есть и ваши сообщения.

4. Поищите признаки джейлбрейка

Большинству постоянно действующих шпионских программ для iPhone нужно устройство с джейлбрейком. Если ваш телефон взломали без вашего ведома, вы можете найти приложение, которое никогда не устанавливали, под названием Cydia, Sileo или Zebra. Поищите эти названия на телефоне. Их присутствие не доказывает слежку, но доказывает, что кто-то снял с вашего устройства защиту Apple.

5. Сравните расход батареи и трафика со своими привычками

Откройте «Настройки», затем «Аккумулятор», и посмотрите данные за последние десять дней. Затем «Настройки» — «Сотовая связь» и просмотрите расход по приложениям. Ищите то, что не совпадает с тем, как вы на самом деле пользуетесь телефоном: приложение, которое вы никогда не открываете, в начале списка расхода батареи, или фоновый трафик, измеряемый гигабайтами.

Считайте это самым слабым признаком из пяти. Изношенный аккумулятор, обновление iOS или синхронизация фотоальбома после отпуска дают ту же картину. Необъяснимый расход — повод присмотреться внимательнее, а не приговор.

Чего эти проверки сказать не могут

Всё перечисленное выше происходит внутри изолированной среды, а значит, всё это может обойти любая сложная программа. Шпионское ПО с атакой без касания (zero-click) не оставляет значка, не запрашивает разрешений и не просит ни на что нажимать. Оно может установиться через сообщение, которое вы даже не открывали, а некоторые варианты вообще не переживают перезагрузку, поэтому поймать их с поличным ещё труднее.

Следы всё же существуют. Просто они находятся там, куда iOS не пускает приложения. Они лежат в журналах сбоев, в базах данных, где записано, какие процессы и когда пользовались сетью, в небольшом системном файле, который фиксирует выключения, и в метаданных внутри зашифрованной резервной копии. Чтобы их прочитать, нужно выйти за пределы изолированной среды, а практический способ это сделать только один.

Как работает анализ с компьютера

Подключите iPhone к компьютеру кабелем, и телефон создаст полную резервную копию, а также отдаст диагностические данные, которые не разрешено читать ни одному приложению на самом устройстве. Затем эту резервную копию можно проверить по известным индикаторам компрометации: доменам, с которыми, как известно, связывается наёмное шпионское ПО, названиям процессов, которые оно создаёт, и следам, которые оно оставляет.

Этим методом пользуются исследователи, которые действительно раскрывают такие кампании. Security Lab организации Amnesty International выпускает инструмент с открытым исходным кодом Mobile Verification Toolkit, который делает именно это; на нём основывалось расследование Pegasus Project в 2021 году. Он бесплатный, пользуется хорошей репутацией — и это инструмент командной строки, который предполагает, что вы уверенно устанавливаете пакеты Python и разбираетесь в криминалистических отчётах.

Вот в этом-то и честная загвоздка. Метод надёжен, а инструменты общедоступны, но пропасть между встревоженным человеком и работающим криминалистическим анализом велика. Сократить её — для этого и существует Haris Shield: анализ с компьютера по тем же общедоступным индикаторам и отчёт, который можно прочитать без терминала. Текущая версия не анализирует полную резервную копию. Она читает по кабелю журналы сбоев и установленные профили, а также sysdiagnose, если вы его импортируете; полный список — на странице «Как это работает».

Если вы что-то нашли, прочитайте это, прежде чем удалять

Это самый важный раздел статьи, и именно его пропускает большинство руководств.

Если вы подозреваете, что за вами следит кто-то из вашего окружения — партнёр, бывший партнёр, родственник, работодатель, — то удалить шпионское ПО вовсе не обязательно должно быть первым шагом. Многие программы сталкерского ПО оповещают того, кто их установил, в момент, когда их отключают. В ситуации контроля или насилия момент, когда слежка прекращается, — это момент, когда следящий узнаёт, что вы всё обнаружили. Такая эскалация — задокументированный риск, а не гипотеза.

Коалиция против сталкерского ПО (Coalition Against Stalkerware), объединяющая организации помощи пострадавшим от домашнего насилия и компании в сфере безопасности, говорит об этом прямо: удаляя сталкерское ПО, вы удаляете и доказательства, а они могут иметь значение, если вы обратитесь в полицию.

Более безопасный порядок действий:

Пока ничего не делайте с телефоном. Ни с кем не выясняйте отношения.
Сначала получите совет — с устройства, к которому у этого человека никогда не было доступа. Организация помощи пострадавшим от домашнего насилия поможет спланировать последовательность действий.
Задокументируйте то, что нашли. Криминалистический отчёт ценнее снимка экрана.
Смените пароли и включите двухфакторную аутентификацию с другого устройства, а не с телефона, который вызывает подозрения.
Только после этого решайте насчёт удаления — в идеале, когда поддержка уже будет рядом.

Если вы не в такой ситуации, а вторжение похоже на обычное преступление или дело рук неизвестного злоумышленника, всё проще. Обновите iOS, удалите то, что нашли, смените пароль Apple ID и подумайте о сбросе до заводских настроек без восстановления из подозрительной резервной копии.

Как стать более трудной мишенью

Включите режим блокировки, если у вас есть реальные причины считать себя целью. Он находится в «Настройках», в разделе «Конфиденциальность и безопасность», и отключает типы вложений в сообщениях и веб-функции, на которые опираются такие эксплойты. Apple заявляет, что ей неизвестно ни об одной успешной атаке наёмного шпионского ПО на устройство с включённым режимом блокировки. Кое-что перестаёт работать — в этом и смысл.
Устанавливайте обновления iOS в день выхода. Большинство таких кампаний опираются на уязвимости, которые Apple уже закрыла.
Используйте код-пароль, который не знает никто, кроме вас, и проверьте, не добавлены ли лишние лица в Face ID или отпечатки в Touch ID.
Не делайте джейлбрейк и не позволяйте никому сделать это за вас.
Проверяйте устройства в своём Apple ID раз в несколько месяцев.

Коротко

Просканировать iPhone на шпионское ПО с самого iPhone невозможно. Всё, что утверждает обратное, ограничено изолированной средой, из которой ему не выбраться. Сами вы можете проверить, нет ли уведомлений Apple об угрозах, незнакомых профилей конфигурации, приложений со слишком широкими разрешениями, следов джейлбрейка и расхода, который не соответствует вашим привычкам. Дальше единственный настоящий ответ — анализ с компьютера.

И если вы что-то нашли и за этим может стоять кто-то из вашего окружения, получите совет, прежде чем что-либо трогать. Сканирование — это самая простая часть.

Источники

Apple, Об уведомлениях Apple об угрозах и защите от наёмного шпионского ПО: support.apple.com/en-us/102174
Amnesty International Security Lab, Forensic Methodology Report: How to Catch NSO Group's Pegasus: amnesty.org
Mobile Verification Toolkit: mvt.re
Coalition Against Stalkerware, Информация для пострадавших: stopstalkerware.org/information-for-survivors

Как обнаружить шпионское ПО на iPhone, не устанавливая приложений