Как проверить IPA-файлы на вирусы перед установкой

АвторScarlet iOS Team Обновлено

Прежде чем устанавливать IPA-файл не из App Store, несколько минут проверки могут уберечь вас от модифицированного приложения, которое крадёт логины, контакты или данные о местоположении. В этом руководстве рассказывается, как на практике проверить IPA на вредоносный код: от быстрого онлайн-сканирования до изучения содержимого файла, а также что делать, если вы уже установили что-то подозрительное. Последняя проверка: 27 октября 2026 года, на основе документации VirusTotal и MobSF, а также руководства пользователя iPhone для iOS 26 от Apple.

Сначала о рисках

  • Ни одна проверка не может гарантировать, что IPA безопасен. Сканеры находят известные угрозы, а новая или хорошо замаскированная модификация может пройти любую проверку.
  • Загрузка файла в онлайн-сканер означает, что вы им делитесь. В документации VirusTotal сказано, что результаты передаются «между проверяющими партнёрами» и что «содержимое загруженных файлов или страниц также может передаваться премиум-клиентам VirusTotal». Никогда не загружайте IPA, содержащий ваши личные данные или приватные сборки.
  • Источник важнее самой проверки. Файл со страницы релизов разработчика намного менее рискован, чем то же приложение, повторно выложенное незнакомцем.

Краткий чек-лист

Проверка Время Что нужно Что обнаруживает
Исследование источника 5 минут Браузер Поддельные сайты, повторные загрузки, источники с плохой репутацией
Хэш файла 1 минута Терминал, опубликованный хэш Любые изменения файла после публикации автором
VirusTotal Несколько минут Браузер Известные вредоносные программы, которые уже определяются антивирусными движками
Изучение содержимого IPA 10 минут Инструмент для распаковки архивов, желательно Mac Посторонние библиотеки, внедрённые в приложение
MobSF 15+ минут Docker или онлайн-демо Опасные разрешения, трекеры, жёстко заданные URL-адреса и ключи

Почему IPA-файлы могут быть опасны

IPA-файл – это ZIP-архив, содержащий iOS-приложение. Любой, у кого есть нужные инструменты, может взять настоящее приложение, добавить в него собственный код, снова упаковать его и поделиться им. Результат выглядит и работает так же, как оригинал, но добавленный код может работать в фоновом режиме с теми разрешениями, которые вы предоставите приложению. Это называется репакнутым или модифицированным приложением, и именно так вредоносное ПО чаще всего попадает на iPhone в обход App Store.

Инструменты для сайдлоадинга переподписывают каждое приложение новым сертификатом перед установкой, поэтому подпись на вашем iPhone ничего не говорит о том, кто на самом деле создал приложение. Именно поэтому проверки ниже нужно проводить до установки.

Способ 1: изучите источник

Сделайте это в первую очередь, поскольку это единственная проверка, способная выявить то, о чем еще не знает ни один сканер.

  • Отдавайте предпочтение официальной странице релизов разработчика, например разделу GitHub releases приложения, а не любым зеркалам.
  • Поищите точное название файла или источника на Reddit (r/sideloaded, r/jailbreak) на предмет сообщений о проблемах.
  • Будьте осторожны с совсем новыми сайтами, анонимными ссылками на файлообменники и Telegram-каналами без истории.
  • Будьте особенно осторожны с сайтами, предлагающими платные приложения бесплатно. Такие файлы по определению всегда кем-то модифицированы.

Наш список IPA-библиотек и репозиториев рассказывает о том, на что обращать внимание при выборе источника.

Способ 2: проверьте хеш файла

Некоторые разработчики публикуют SHA-256 хеш рядом со ссылкой на загрузку. Хеш – это отпечаток файла: если изменится хотя бы один байт, хеш будет совершенно другим. Если хеш вашего файла совпадает с опубликованным, значит, у вас именно тот файл, который выпустил разработчик.

  • Mac: откройте Terminal и выполните shasum -a 256 /path/to/app.ipa
  • Windows: откройте PowerShell и выполните Get-FileHash C:\path\to\app.ipa -Algorithm SHA256
  • Linux: выполните sha256sum /path/to/app.ipa

Совпадение полезно только в том случае, если хеш взят у разработчика, а не с того же сайта, где вы скачали файл. Хеш на зеркале доказывает лишь то, что файл совпадает с тем, что загрузил сам сайт-зеркало.

Способ 3: сканирование через VirusTotal

VirusTotal – это бесплатный сервис, который проверяет файл с помощью, как указано в его документации, «более 70 антивирусных сканеров и сервисов блокировки URL/доменов».

  1. Откройте virustotal.com на компьютере.
  2. Выберите File, укажите IPA-файл и дождитесь завершения сканирования.
  3. Перед загрузкой вставьте SHA-256-хеш файла во вкладку Search. Если кто-то уже сканировал этот же файл, вы получите результаты без загрузки чего-либо.
  4. Читайте названия обнаруженных угроз, а не только их количество.

Как интерпретировать результат:

  • Несколько движков называют одно и то же семейство вредоносного ПО: не устанавливайте файл.
  • Одно-два обнаружения с общими названиями: возможно, ложное срабатывание. В документации VirusTotal также говорится, что сервис полезен для выявления ложных срабатываний, «обычных и безвредных элементов, которые один или несколько сканеров определили как вредоносные». Проверьте комментарии сообщества к результату и ещё раз изучите источник файла.
  • Обнаружений нет: это значит, что ни один движок не считает файл вредоносным. Но это не означает, что файл точно безопасен.

Способ 4: заглянуть внутрь IPA

Поскольку IPA – это ZIP-файл, его можно открыть, не устанавливая.

  1. Скопируйте файл и переименуйте копию с app.ipa на app.zip.
  2. Распакуйте его. Внутри будет папка Payload, а в ней папка AppName.app (на Mac щёлкните по ней правой кнопкой и выберите «Показать содержимое пакета»).
  3. Откройте Info.plist и проверьте идентификатор пакета и версию. Они должны совпадать с тем приложением, которое вы ожидаете получить.
  4. Посмотрите в папке Frameworks и в папке приложения файлы с расширением .dylib. Внедрённый код обычно добавляют как дополнительный dylib с названием, которое никак не связано с приложением.

На Mac с установленными инструментами командной строки Xcode можно пойти дальше с помощью двух команд:

  • otool -L Payload/AppName.app/AppName выводит список библиотек, которые загружает основная программа приложения. Путь к библиотеке внутри приложения, не являющейся одним из его собственных фреймворков, – тревожный сигнал.
  • codesign -dv --verbose=4 Payload/AppName.app показывает, кто подписал файл. Сравните это с тем, какого разработчика вы ожидали увидеть, учитывая, что многие IPA распространяются без подписи или с повторной подписью.

Некоторые модифицированные приложения, например твикнутые приложения (tweaked apps), и должны содержать дополнительные dylib. В этом случае вопрос не в том, есть ли они, а в том, доверяете ли вы тому, кто их добавил.

Способ 5: глубокий анализ с помощью MobSF

Mobile Security Framework (MobSF) – это бесплатный инструмент с открытым исходным кодом. В его README указано, что статический анализатор поддерживает бинарные файлы приложений, включая файлы IPA, и перечислены такие сценарии использования, как анализ вредоносного ПО и анализ конфиденциальности. Отчёт MobSF по IPA показывает такие вещи, как запрашиваемые разрешения, сетевые адреса и строки, найденные внутри приложения.

  • Запустите самостоятельно: в README приведена настройка через Docker: docker pull opensecurity/mobile-security-framework-mobsf:latest, затем docker run -it --rm -p 8000:8000 opensecurity/mobile-security-framework-mobsf:latest, после чего откройте localhost:8000 в браузере.
  • Онлайн: в README указана ссылка на онлайн-анализатор по адресу mobsf.live. Здесь действует та же предосторожность в плане конфиденциальности, что и с VirusTotal: вы загружаете файл на чужой сервер.

Обращайте внимание на разрешения, которые приложению не должны быть нужны (например, калькулятор, запрашивающий доступ к контактам), и на сетевые адреса, не принадлежащие разработчику приложения.

Если вы уже установили подозрительное приложение

  1. Удалите приложение: нажмите и удерживайте его значок, выберите Удалить приложение, затем Удалить приложение ещё раз.
  2. Проверьте раздел Настройки > Основные > VPN и управление устройством и удалите любой незнакомый профиль.
  3. Проверьте разрешения в разделе Настройки > Конфиденциальность и безопасность, а также посмотрите там Отчёт о конфиденциальности приложений, чтобы узнать, с какими доменами связывались приложения.
  4. Смените пароли всех учётных записей, в которые вы входили через это приложение, начиная с Apple Account и электронной почты.
  5. Если вы считаете, что компрометация была серьёзной, сделайте резервную копию нужных данных и сотрите iPhone через Настройки > Основные > Перенос или сброс iPhone > Стереть контент и настройки.

Пошаговые инструкции для каждого разрешения приведены в нашем руководстве о том, как отозвать доступ у ненадёжных приложений.

Полезные привычки

  • Скачивайте приложения со страницы релизов самого разработчика, если она существует.
  • Проверяйте хеш, если он опубликован, и сканируйте файл через VirusTotal каждый раз.
  • Предоставляйте разрешения только тогда, когда они действительно нужны приложению для той функции, которой вы пользуетесь.
  • Используйте отдельный Apple ID для sideloading, если ваш инструмент его требует, чтобы основная учётная запись никогда не оказалась под угрозой.

Более подробную картину смотрите в нашем полном руководстве по безопасности sideloading на iOS и материале о том, что нужно знать о корпоративных сертификатах.

Часто задаваемые вопросы

Могу ли я проверить IPA прямо на iPhone?

Вы можете открыть virustotal.com в Safari и загрузить файл из приложения «Файлы». А вот для просмотра содержимого IPA и запуска MobSF понадобится компьютер.

Защищает ли проверка App Store приложения, установленные через sideloading?

Нет. Установленный через sideloading IPA никогда не проходил App Review, даже если оригинальное приложение есть в App Store.

Достаточно ли чистого результата VirusTotal?

Нет. Это означает лишь то, что ни один антивирусный движок не распознал файл как известное вредоносное ПО. Сочетайте это с проверкой источника и анализом содержимого файла.

Похожие записи