Файл: Forensics-06.pdf

●

копии тела файла и их фрагменты в секторах диска, которые считают
ся свободными;

●

заголовок файла в каталоге, а также во всех копиях этого каталога в
свободных секторах диска;

●

упоминания имени и, возможно, некоторых других атрибутов файла в
«истории» и логах тех прикладных программ, которые его обрабатыва
ли – редакторов, файлменеджеров, клиентов электронной почты, ар
хиваторов и т.п.;

●

временные копии файла, которые создаются программами, которые
этот файл редактируют или просматривают;

●

промежуточные копии файла и его атрибутов, образующиеся при пе
ресылке файла при помощи электронной почты, ICQ, FTP, вебин
терфейса;

●

архивные копии диска, его отдельных каталогов, реестра, электрон
ной почты и других объектов;

●

миниатюры (thumbnails), которые создает ОС и некоторые вьюверы
(программы просмотра) для ускорения просмотра списка файлов.
В некоторых случаях нет необходимости восстанавливать уничтожен

ную или зашифрованную информацию, достаточно лишь доказать ее на
личие на исследуемом диске.

Например, по одному делу о нарушении авторских прав на програм

мные продукты было установлено, что подозреваемый держал контрафа
ктные копии программ на криптодиске*. Эксперт не смог подобрать
ключ для расшифровки. Однако в этом и необходимости не было. Для
подтверждения вины требовалось доказать не наличие программ на дис
ке, а их использование подозреваемым. Эксперт обнаружил на диске
многочисленные копии каталога криптодиска, записи в реестре, ярлыки
(shortcuts) соответствующих программ, данные, обработанные этими
программами, – и на этом основании сделал вывод, что программный
продукт был установлен на исследуемом компьютере и использовался не
однократно.

В другом случае эксперт искал на диске подозреваемого электронные

изображения денежных купюр, в подделке которых тот подозревался.
Файлы с изображениями купюр оказались затерты без возможности вос
становления. Однако сохранились миниатюры (thumbnails), которые ав
томатически создает ОС для показа списка файлов в каталоге. Для графи
ческих файлов миниатюра представляет собой уменьшенное изображе
ние первой страницы. Несмотря на небольшой размер миниатюры, ее со
держимое было видно достаточно четко. Эксперимент по созданию такой
же миниатюры из большого изображения денежной купюры подтвердил
гипотезу. Таким образом наличие файла с изображением на компьютере
подозреваемого было доказано без обнаружения самого файла.

281

Компьютернотехническая экспертиза

Эксперт в своем заключении даже не обязан указывать, какие инстру

менты он использовал. Обязан указать лишь «примененные методики»
(ст. 204 УПК). Методика – совсем не то же самое, что инструмент или
программа. Почти все экспертные программы используют одни и те же
методики исследования, а именно: доступ к носителю через функции
файловой системы, доступ к носителю помимо файловой системы (через
функции BIOS), контекстный поиск на носителе, детектирование фор
матов данных на основе сигнатур и так далее.

Нарушает ли эксперт законодательство об интеллектуальной

собственности, используя нелицензированную копию программы? Ока
зывается, тоже нет. Статья 23 закона «Об авторском праве...» гласит: «До
пускается без согласия автора и без выплаты авторского вознаграждения
воспроизведение произведений для судебного производства в объеме,
оправданном этой целью». В четвертой части ГК, которая с 2008 года при
ходит на смену закону «Об авторском праве...», эта норма сформулирова
на схожим образом: «Допускается без согласия автора или иного право
обладателя и без выплаты вознаграждения воспроизведение произведе
ния для осуществления производства по делу об административном пра
вонарушении, для производства дознания, предварительного следствия
или осуществления судопроизводства в объеме, оправданном этой
целью» (ст. 1278).

Программа для ЭВМ – это произведение. Инсталляция программы

есть ее воспроизведение. Судебная компьютернотехническая экспертиза
– это как раз «для судебного производства» или «для производства предва
рительного следствия». Поэтому эксперт и специалист могут почти сво
бодно использовать любой проприетарный софт, не опасаясь нареканий.

Многие компанииправообладатели и сами не возражают против

бесплатного использования их программ экспертами или правоохрани
тельными органами. Многие безвозмездно передавали образцы своего
ПО для проведения экспертных исследований.

Таким образом, можно утверждать, что какие бы программы ни ис

пользовал эксперт в своих исследованиях, это само по себе не может слу
жить основанием для непризнания результатов экспертизы.

Поиск информации на диске

Информация о файлах

Помимо самого файла, на диске сохраняется информация об этом

файле в различных местах. Когда файл затерт, уничтожен без возможнос
ти восстановления, можно тем не менее установить и доказать факт его
присутствия в прошлом по этим косвенным данным. Эти данные суть
следующие:

280

Н.Н. Федотов

Форензика – компьютерная криминалистика

всего лишь провести осмотр содержимого компактдиска, записанного
экспертом. Для осмотра архива электронной почты или ICQ, записанно
го в какомлибо распространенном формате (например, текстовом), не
требуется специальных знаний. Такой осмотр может провести следова
тель с понятыми. Кроме того, исследованный компьютер после хранения
может оказаться и непригоден для повторного исследования – условия
хранения вещественных доказательств у нас не самые оптимальные. А
информация на компактдиске, который приложен к заключению экс
перта и хранится прямо в уголовном деле, – это надежнее и проще.

Решать, какая именно часть переписки относится к делу, целесооб

разно поручить эксперту. Для этого его необходимо ознакомить с матери
алами дела. В простейших случаях бывает достаточно изложить фабулу
дела в постановлении о назначении экспертизы.

Кроме обнаружения архива переписки нужно поставить вопрос о том,

принимались ли (отправлялись ли) найденные сообщения. Электронное
письмо попадает в архив не только в том случае, когда оно отправлено с
данного компьютера или принято на данный компьютер. Оно может
быть записано (импортировано) в архив по особой команде пользователя.
Оно может быть приложено к другому письму, которое поступило поль
зователю. Многие люди, когда меняют компьютер, переписывают со ста
рого на новый весь архив электронной почты. Различные следы скажут
эксперту, было ли найденное сообщение принято или отправлено при
помощи исследуемого компьютера, или оно принималось/отправлялось
из другого места, а на исследуемый диск попало какимто иным путем.

Факт отправки или приема электронного сообщения нельзя строго

доказать одним только обнаружением его на компьютере отправителя
или получателя в ходе экспертизы. Необходимо подтвердить факт пере
дачи письма «на другом конце» или на промежуточном узле. Иногда вто
рой корреспондент известен. Но часто местоположение второй копии
письма выясняется лишь в ходе проведения экспертизы. В таких случаях
бывает полезно поставить перед экспертом вопрос, где еще можно обна
ружить копию сообщения или следы его передачи.

Реконструкция просмотра вебстраниц

Из тех следов просмотра пользователем вебсайтов (вебсёрфинга),

которые могут быть обнаружены на пользовательском компьютере, сле
дует отметить cookieфайлы, историю просмотра и кэш браузера (времен
ные файлы). Также при анализе следует учитывать хранимые браузером
пароли к сайтам и закладки.

История просмотра вебстраниц – это, упрощенно говоря, перечень

адресов (URL) вебсайтов, к которым пользователь осуществлял доступ.

283

Компьютернотехническая экспертиза

Подключение образа диска

Как указывалось выше, не обязательно изымать на экспертизу диск

компьютера целиком. Вполне достаточно снять на месте bit streamкопию
или образ этого диска. Исследуя этот образ, можно установить все, что и
при исследовании самог

ó

диска (исключение составляет особый вид экс

пертизы, крайне редко применяющийся в России). Но даже когда экс
перту поступает сам магнитный диск, все исследования все равно прово
дятся над его образом, который снимается в самом начале экспертизы.

Образ диска может сниматься на такой же или большего объема диск

по принципу «сектор в сектор». Другой, более удобный способ, когда об
раз диска создается в файле. В первом случае дискобраз физически
подключается к лабораторному компьютеру и монтируется в режиме
«readonly». Для этого используется команда «mount» с ключом «r» или «
o ro»; такая команда есть в любой ОС, кроме «Windows». Для «Windows»
придется подключать диск через специальное аппаратное устройство для
блокировки записи. Во втором случае (образ в едином файле) подключе
ние диска эмулируется специальной программой. Такие функции есть в
«EnCase» и другом экспертном ПО.

Изучение архивов электронной почты и ICQ

На персональном компьютере сохраняется вся отправляемая и прини

маемая корреспонденция. В зависимости от настроек, она может хра
ниться долго или не очень или стираться сразу по прочтении. Но в любом
случае, при получении и отправке информация записывается на диск хо
тя бы раз. А это значит, что если не в явном, то в скрытом виде она может
найтись при экспертизе.

Средний пользователь хранит в архиве однудве сотни сообщений

электронной почты. Более активные пользователи могут хранить нес
колько тысяч. Вместе с копиями этих сообщений, вместе с удаленными
сообщениями может получиться очень много информации. Не хватит
никакой бумаги, чтобы всю ее распечатать. Поэтому никогда не следует
давать задание эксперту найти и отпечатать всю найденную электронную
переписку. 

С другой стороны, сводить работу эксперта к обнаружению одного

двух заданных писем тоже неверно. Лучше всего поставить перед экспер
том вопрос об обнаружении всей переписки как в явном, так и в скрытом
(удаленном) виде. 

Те сообщения, которые относятся к делу, следует распечатать на бума

ге и приложить к заключению. Весь прочий архив переписки имеет
смысл записать на компактдиск. Если окажется, что распечатанного не
достаточно, не надо будет проводить повторную экспертизу, достаточно

282

Н.Н. Федотов

Форензика – компьютерная криминалистика

жесткие диски. Даже если диск (компьютер) куплен в магазине и счи
тается «новым», не исключено, что он был возвращен в торговую сеть
предыдущим покупателем. Некоторые предприятиясборщики компь
ютеров для экономии используют подержанные комплектующие, не
уведомляя об этом потребителей. Подержанная электроника с виду ни
чем не отличается от новой. Конечно, продавец, как правило, перераз
мечает и/или переформатирует НЖМД. Но прежняя информация при
этом на диске остается и будет обнаружена в ходе экспертизы.

●

Вредоносные программы, от которых никто не застрахован

1

, скрытно

внедряясь на компьютеры, часто открывают «черный ход», позволяю
щий как снимать информацию по сети с этого компьютера, так и за
писывать на него. Указанным «черным ходом» может воспользоваться
как «хозяин» вредоносной программы, так и иное лицо. Поскольку
особенности устройства и поведения всех выявленных вредоносных
программ известны, находится немало желающих воспользоваться ре
сурсами скомпрометированных компьютеров для собственных целей.
Злоумышленники постоянно сканируют Интернет в поисках извест
ных «черных ходов», а найдя, пытаются получить контроль над компь
ютером, присоединив его к своей зомбисети*. Плотность сканирова
ния достаточно высока. Компьютер с известной уязвимостью, будучи
«выставлен» в Интернет без защиты, заражается вредоносной прог
раммой в течение считанных минут. Описанным способом на диске
скомпрометированного компьютера может образоваться информация
без желания и ведома его пользователя.

●

При просмотре вебсайтов вся полученная браузером информация в
том или ином виде откладывается на жестком диске. Попасть на веб
сайт пользователь может и без своего желания, будучи автоматически
перенаправлен или завлечен обманом. На сайте могут размещаться
рекламные баннеры*, содержание которых владелец сайта не контро
лирует. Кроме того, на диск (в кэш браузера) записывается не только
просмотренная пользователем информация, но и такая, которую он
даже не видел – не пролистал вебстраницу до конца, не дождался ее
окончательной загрузки, не активировал скрипт, быстро закрыл
всплывающее (popup) окно и так далее. То есть пользователь не видел
информации и не желал ее получать, а эксперт нашел такую информа
цию на диске.

●

Примерно то же относится к спаму*. Полученный пользователем без
его желания спам, хотя и стирается, зачастую даже без беглого прос

285

Компьютернотехническая экспертиза

Одни браузеры хранят историю в своих настройках, другие – вместе с
временными файлами.

Кэш браузера (временные файлы) – это копии HTMLфайлов, изоб

ражений и иных файлов, загружаемых в ходе просмотра вебстраниц.
Они сохраняются на локальном диске на случай повторного просмотра
тех же страниц. Вместе с каждым файлом принимается и записывается
срок его актуальности.

В cookieфайлах содержится адрес вебсайта, который создал этот

файл, значения переменных, время создания и срок актуальности этого
cookie. Эти файлы сохраняются на компьютере пользователя по инициа
тиве вебсервера и предназначены, для того чтобы сервер мог сохранить
индивидуальные настройки пользователя [71, 72].

Все описанные данные, если они сохранились, позволяют в подроб

ностях восстановить последовательность просмотра пользователем веб
сайтов. Эта процедура может быть автоматизирована. Реконструкцию
вебсёрфинга по сохраненным данным браузера выполняют экспертные
программы «EnCase», «FTK», «Pasco» и некоторые другие. Реконструк
цию можно провести и вручную.

В свете изложенного вполне уместно выглядит такой вопрос эксперту:

«Восстановить последовательность просмотра пользователем вебсайтов
в такойто период времени» или «Установить, когда пользователь прос
матривал вебсайт такойто, в какой последовательности и какую инфор
мацию при этом получал».

Учитывая, что достаточно распространены вебинтерфейсы к элект

ронной почте, при помощи восстановления просмотренных пользовате
лем вебстраниц можно установить получение и отправку им сообщений
электронной почты через такой вебинтерфейс.

Оценка найденного

Распространенной ошибкой следствия является поставить перед экспер

том вопрос о наличии на НЖМД того или иного содержимого, но не поин
тересоваться, каким образом найденная информация там оказалась. Добро
совестный эксперт, конечно, сам, без дополнительного вопроса, укажет в
заключении, каким путем найденная информация образовалась на диске.

Многие следователи и судьи молчаливо предполагают, что если ин

формация найдена в компьютере, то именно пользователь компьютера
поместил ее туда. Это не всегда так. Существует ряд путей, когда интере
сующая следствие информация попадает в компьютер помимо воли и без
ведома его пользователя. Перечислим эти пути:

●

НЖМД*, прежде чем попасть в исследуемый компьютер, мог исполь
зоваться в другом, у другого пользователя. Продаются подержанные

284

Н.Н. Федотов

Форензика – компьютерная криминалистика

1 

Доказано, что своевременное обновление всего ПО и постоянное использование

антивирусной программы, хотя и снижает риск заражения, но отсутствия вирусов не
гарантирует. Обновления (патчи) к ПО и новые базы к антивирусам выходят несколько
позже, чем соответствующие вирусы.

комплексную экспертизу. Первый эксперт (специалист по ИТ) должен
разыскать на изъятом компьютере тексты программ и исполняемый код,
а также ответить на вопросы о наличии конфиденциальной информации
из компьютера потерпевшего. А второй эксперт (программист) должен
исследовать найденный исходный код и исполняемый код вредоносной
программы и ответить на вопросы, касающиеся ее устройства, функцио
нальности, изготовления и авторства.

Изучение печатных документов

С какойто точки зрения лист бумаги, вышедший из принтера, тоже

является носителем компьютерной информации. Хотя такая информа
ция предназначена для восприятия человеком, но записана она была при
помощи компьютера. То, что напечатано на принтере, неизбежно было
представлено в цифровом виде. Поэтому все распечатки следует рассмат
ривать наравне с электронными носителями.

На распечатках содержится не только информация, ориентированная

на человека. Машинная информация там тоже есть.

Изготовители принтеров из США закладывают в них печать на каж

дой странице скрытых данных о дате, времени и заводском номере прин
тера. Сделано это было по настоянию властей, но информация почти сра
зу стала широко известна [W14]. В том числе опубликованы места печати
скрытой информации и ее кодировка [W15, W16, W17]. Информация эта,
разумеется, неофициальная. Но ее несложно будет проверить в ходе экс
пертизы. Достаточно на том же принтере или на принтере такой же моде
ли распечатать контрольную страницу (чистый документ) и сравнить об
наруженные на ней скрытые коды с кодами на исследуемом документе.

Сведений о распечатке подобной скрытой сигнатуры принтерами,

произведенными в других странах, нет.

Кроме нарочно созданных сигнатур у принтеров имеются индивидуаль

ные особенности и особенности, присущие модели [47]. Поэтому эксперти
за может не только привязать печатный документ к конкретному принтеру,
но и по документу установить, на принтере какой модели он был напечатан.

Стоимость ПО

Несколько слов про иной вид экспертизы, необходимый при рассле

довании компьютерных преступлений.

На квалификацию преступления по ст. 146 (ч.ч. 2 и 3) УК влияет стои

мость экземпляров или прав на использование произведения. Автор хотел
бы лишний раз подчеркнуть, что в статье фигурирует именно 

стоимость

. Не

ущерб и не цена. Довольно часто на следствии происходит путаница (а то и

287

Компьютернотехническая экспертиза

мотра, сохраняется на диске. Его содержимое наверняка будет найде
но при проведении экспертизы и при неверном истолковании может
привести к судебной ошибке. Известно, что в спаме часто рекламиру
ются незаконные товары и услуги.

●

Персональный компьютер редко используется человеком строго пер
сонально. Члены семьи, друзья и коллеги вполне могут время от вре
мени воспользоваться чужим персональным компьютером, чтобы
нечто скачать с Интернета или переписать информацию с одного но
сителя на другой. Часто это делается без ведома владельца. Поэтому
всегда остается вероятность найти на диске информацию, к которой
пользователь не имеет отношения.

●

Компьютеры иногда отдают в ремонт. В ходе диагностики и ремонта на
диск может устанавливаться специализированное ПО (в том числе двой
ного назначения) и записываться всякая информация в тестовых целях.
Конечно, тестовую информацию удалят, но впоследствии, в ходе экспер
тизы, она будет обнаружена и может быть неверно интерпретирована.
Автор вовсе не хочет сказать, что все, обнаруженное на компьютере

подозреваемого, следует списывать на вирусы, спам и прежних владель
цев. Как правило, эксперт в состоянии определить, когда, каким спосо
бом и в каком контексте найденная информация была записана на диск
– и тем самым развеять сомнения относительно ее происхождения. Пе
ред экспертом наряду с вопросом о присутствии на диске той или иной
информации всегда надо ставить вопрос о том, каким способом и при ка
ких обстоятельствах эта информация там оказалась.

Исследование программ

Когда заходит речь об исследовании создания программ для ЭВМ,

сравнении двух программ, установлении соответствия исходного кода и
исполняемого кода – словом, когда исследование не может ограничиться
«внешней» функциональностью программ, то требуются специальные
знания в области программирования. Специалист в сфере информацион
ных технологий, компьютерных сетей, защиты информации и специалист
в области программирования редко сочетаются в одном лице. Как прави
ло, программист имеет лишь общие представления об ИТ и наоборот.

Поэтому, если требуются глубокие знания по программированию,

стоит назначить по этому вопросу отдельную экспертизу.

Например, лицо подозревается в создании (именно создании, не мо

дификации) вредоносной программы и получении с ее помощью конфи
денциальных данных с компьютера потерпевшего. Доказательства, оче
видно, могут быть найдены на компьютере подозреваемого в ходе прове
дения КТЭ. Имеет смысл назначить две отдельные экспертизы либо одну

286

Н.Н. Федотов

Форензика – компьютерная криминалистика

●

Некоторые программы могут вообще не продаваться в какойто стра
не, хотя и пользоваться там некоторым спросом.

●

Правообладатели порой бесплатно распространяют версию ПО с уре
занными функциями или ограниченным сроком действия (так назы
ваемые пробные, ознакомительные, тестовые или триальные версии),
но при этом такая ограниченная версия вполне удовлетворяет все пот
ребности пользователя. Бывает, что пробная версия и полноценная
версия программы устанавливаются с одного и того же дистрибутива и
начинают отличаться друг от друга только с момента регистрации.

●

Программы могут не продаваться без соответствующего оборудования
или вне определенного комплекта программ. Но при этом сохраняет
ся техническая возможность использовать их отдельно. В таком случае
официальная цена на отдельную программу либо вообще не объявля
ется, либо выставляется в 0. Стоимость при этом далеко не нулевая.
Исходя из упомянутых сложностей, автор рекомендует для оценки сто

имости прав на использование программы для ЭВМ назначать не эконо
мическую, а комплексную экспертизу, с участием двух экспертов – эконо
миста и ИТспециалиста. Особенно, когда оценка осложнена такими обс
тоятельствами, как использование устаревшей, изъятой из продажи вер
сии ПО, использование версии, лицензируемой бесплатно для некоторых
категорий, превышение количества инсталляций и т.д.

Конечно, не по каждому делу о нарушении авторских прав обязатель

но проводить экспертную оценку стоимости ПО. Иногда стоимость мож
но оценить без эксперта, исходя из цены. Если определенная программа
продается (лицензируется) по одинаковой цене для всех или подавляюще
го большинства потребителей, то такую цену можно считать ее стои
мостью. При наличии нескольких цен для различных условий следователь
или суд может принять в качестве оценки наименьшую из этих цен.

Распространенные ошибки при оценке стоимости контрафактных

программ или иных произведений, из опыта автора, таковы:

●

из нескольких действующих цен на продукт в качестве оценки стои
мости берется одна, причем выбор никак не обосновывается;

●

в качестве оценки стоимости продукта берется цена на другую версию
продукта – более новую, более старую, на другом языке и т.д.;

●

оценка стоимости произведения (прав на его использование) поруча
ется компьютернотехнической экспертизе;

●

вместо стоимости оценивается цена продукта или ущерб правообла
дателю;

●

оценка стоимости поручается правообладателю или производится
следователем из данных, предоставленных правообладателем (напри
мер, фирменного каталога цен);

●

при оценке стоимости через цену не учитываются условия, в которых

289

Компьютернотехническая экспертиза

умышленная подмена понятий): эксперту ставят вопрос об ущербе право
обладателю, в качестве доказательства приводят справку о цене програм
много продукта. В то время как оценить следует именно его стоимость.

Как известно, стоимость товара или услуги является объективной ка

тегорией. То есть она не определяется желаниями участников конкрет
ной сделки, не зависит от мнения автора или правообладателя. Упомяну
тые субъекты могут устанавливать только цену конкретной сделки. А сто
имость зависит от состояния рынка в целом, от полезности товара и дру
гих объективных категорий.

Поскольку стоимость объективна, ее можно оценить. Оценку стоимости

в идеале должен проводить экспертэкономист или экспертоценщик [L04].
Разумеется, эксперт должен быть независим от автора или правообладателя.

Оценку стоимости не может проводить потерпевший.

Хотя, к большому сожа

лению, в российской практике часто именно так и поступают – принимают
в качестве стоимости прав на ПО сумму, декларированную потерпевшим.

Оценка стоимости программного обеспечения (точнее, прав на его ис

пользование) имеет свои особенности. Производство ПО с экономичес
кой точки зрения довольно сильно отличается от производства матери
альных товаров. Общие издержки на производство серии товара состав
ляют почти 100%, а индивидуальные издержки на производство каждого
экземпляра составляют ничтожную часть всех издержек. Отсюда и осо
бенности в определении стоимости одного экземпляра ПО.

Другие экономические особенности программных продуктов таковы:

●

Цена на ПО очень вариабельна. В зависимости от региона, потребите
ля, условий эксплуатации цена на одну и ту же программу может зап
росто отличаться в 10 и более раз. Нередки случаи, когда при опреде
ленных условиях или для определенных категорий пользователей ли
цензия на ПО вообще передается бесплатно, в то время как для прочих
она стоит существенных денег.

●

При выходе новой версии программы прежняя версия либо вовсе сни
мается с продажи, либо очень сильно дешевеет. В то время как цена
новой версии обычно близка к прежней цене старой. Потребительс
кие свойства более старой версии при этом не меняются.

●

Часто новая версия программы (обновление до более новой версии)
входит в цену старой, то есть легальным пользователям прежней вер
сии ПО права на новую версию предоставляются бесплатно или с
очень большой скидкой.

●

Цена, как правило, нелинейно зависит от числа копий (инсталляций,
пользователей). Например, лицензия на 1 копию стоит 1 условную
единицу, на 20 копий стоит 10, на 50 копий – 20. В случае, когда ис
пользована 21 копия, их стоимость можно оценить в 10,5 условных
единиц, в 11, в 20 или даже в 21.

288

Н.Н. Федотов

Форензика – компьютерная криминалистика