Признаки доступа
Я ищу скрытый сбор сведений не в одном окне, а по цепочке настроек. Главный след виден в правах приложений, в службах автозаполнения и в системном журнале действий. Подозрение вызывает связка из чтения содержимого экрана, работы поверх других окон и доступа к специальным службам. Отдельно такой пункт не доказывает утечку, но набор прав уже показывает чужой интерес к платежным полям, и похожую проверку можно провести через скрытый доступ к данным заметок на iPhone.
Первую проверку я начинаю с раздела специальных возможностей. Чужая служба в этом месте получает обзор интерфейса, видит названия полей и перехватывает ввод. Дальше я открываю список программ с доступом к уведомлениям и смотрю, кто читает входящие сообщения. Через такие окна вредоносный модуль собирает коды подтверждения и связывает их с данными формы. Если рядом активен показ поверх других окон, риск заметно растет.
Отдельный слой проверки касается службы автозаполнения. В системе должна быть одна понятная запись, которую владелец сам выбрал. Лишний поставщик в этом списке уже требует разбора. Я смотрю, кто указан основным обработчиком полей оплаты, адреса и входа. Если название незнакомо, а путь установки не ясен, запись отключают и проверяют поведение устройства заново.
Следы в поведении
Скрытый перехват выдает себя изменением экрана оплаты. Поля получают странные подсказки, клавиатура меняет вид без запроса, а поверх формы мелькает прозрачный слой. Иногда окно исчезает при попытке открыть сведения о приложении. Такой прием маскирует активную службу и мешает снять разрешение. Еще один признак — внезапная подстановка старых реквизитов, которые владелец давно удалил из памяти устройства.
Я отдельно проверяю журнал действий внутри системы, если оболочка его показывает. Меня интересуют моменты запуска служб после разблокировки, вызовы поверх банковских форм и обращения к хранилищу данных входа. Полезен и список недавней активности батареи. Чужой процесс, который оживает при вводе платежных данных, оставляет заметный след по времени запуска. Совпадение таких событий с открытием формы оплаты уже дает основание для глубокой очистки.
Где прячут доступ
Разработчики нежелательных модулей прячут сбор сведений под видом сканера, очистки памяти, клавиатуры или помощника для копирования. Название звучит нейтрально, значок не вызывает тревоги, а внутри лежит лишний набор прав. Я сверяю назначение программы с ее полномочиями. Калькулятору не нужен обзор экрана, фонарику не требуется служба автозаполнения, а заметкам незачем читать уведомления банка.
Скрытые разрешения на доступ к журналу автозаполнения кредитных карт ищут и через раздел изменения системных настроек. Через него модуль меняет обработчики, подменяет способы ввода и возвращает снятые флажки. Еще один тайник — права администратора устройства. С ними вредоносный компонент усложняет удаление и переживает поверхностную чистку. Если отключение кнопки удаления сопровождается запросом администратора, цепочку прав разбирают с конца, а не с начала.
Ошибки при проверке
Главная ошибка — смотреть один экран и считать проверку завершенной. Опасный сбор почти не держится на одном разрешении. Он строится на связке: экран, уведомления, автозаполнение, показ поверх окон, запуск в фоне. Вторая ошибка связанаона с доверием к названию. Безобидное имя не отменяет агрессивный набор полномочий. Третья ошибка возникает при удалении без анализа: остатки службы сохраняются в профиле, а подмена возвращается через резервную копию.
Я не полагаюсь на встроенный список прав в карточке программы как на полный источник. Часть полномочий скрывается в специальных разделах системы. Проверка проходит по шагам: служба автозаполнения, специальные возможности, администраторы, уведомления, показ поверх окон, изменение системных настроек, активность батареи. Если совпали два или три подозрительных признака, устройство переводят в безопасный режим, отключают лишние службы и удаляют источник. Повторная проверка подтверждает, исчезли ли чужие подсказки, подстановки и фоновый запуск.