Файл: Forensics-06.pdf

311

Компьютернотехническая экспертиза

310

Н.Н. Федотов

Форензика – компьютерная криминалистика

Постановка вопроса эксперту представляется чрезмерно лаконичной.

По уголовному делу подлежат доказыванию различные обстоятельства.
Эксперт в состоянии не только установить факт наличия изображения
денежной купюры на компьютере, но также сказать коечто про следую
щие обстоятельства:

●

когда это изображение было туда помещено;

●

при помощи каких средств это изображение было изготовлено и/или
обработано;

●

когда оно было изготовлено;

●

есть ли следы обработки, распечатки, копирования этого изобра
жения.

Возможно, не на все перечисленные вопросы эксперт мог дать катего

ричный ответ. Возможно, на некоторые из них он ответил бы предполо
жительно. Все равно такие ответы послужили бы к изобличению фальши
вомонетчиков. Простое присутствие изображений денежных купюр на
компьютере еще ни о чем не говорит. К примеру, на компьютере автора
эти изображения также присутствовали, поскольку они были приложены
к заключению эксперта, которое автор получил от своего корреспонден
та в электронном виде.

Судя по описанию компьютера, он был опечатан неправильно, то

есть не опечатаны разъемы питания и подключения периферии. Если
автор правильно понял написанное экспертом, то следует признать,
что неизменность доказательств не была обеспечена. И этот факт доб
росовестный эксперт обязан был указать в своем заключении откры
тым текстом. Если же автор понял неправильно и разъемы компьютера
всетаки были опечатаны, то следует отметить неясность в формули
ровках.

Эксперт вовсе не обязан подробно описывать внешний вид и состоя

ние объекта исследования. Такое описание, конечно, не повредит. Од
нако оно не требуется. А вот что точно требуется для правильной оценки
доказательств – это неизменность. Эксперт, по мнению автора, обязан
отразить свое мнение по поводу сохранности и неизменности компью
терной информации на исследуемом объекте. Например, так: «состоя
ние печатей свидетельствует, что доступ к содержащейся в компьютере
информации был невозможен с момента изъятия до момента начала экс
пертизы».

Положительный пример

Далее приводится заключение, которое если и не идеально, то может

служить образцом почти для всех российских экспертов.

При осмотре НЖМД, файлов, в удаленном виде содержащих графичес

кие изображения денежных купюр, не обнаружено.

ВЫВОД

На НЖМД системного блока, представленного на экспертизу, имеются

файлы, содержащие графические изображения денежных купюр. Файлы описа
ны в таблице 3 заключения и распечатаны в Приложении к заключению экспер
та (с. 4, 5).

Эксперт

И.И.Иванов

В результате осмотра НЖМД обнаружены файлы.

Таблица 3.

Файлы, содержащие информацию по уголовному делу, 

находящиеся на представленном НЖМД

№ п/п

Путь

Имя файлаРазмер (в байтах), дата создания

Описание файла

1

D:\Рефераты\editors\рефффф\рефффф\ 4.cdr

1105302

Содержит графическое изобра

08.12.2002

жение оборотной стороны купю

15:35:12

ры достоинством 50 рублей. 
Файл распечатан из графическо
го редактора CorelDRAW v9.337
на принтере фирмы EPSON моде
ли EPSON STYLUS C62 
(см. Приложение с. 4)

2

D:\Рефераты\editors\рефффф\рефффф\ 5.cdr

1144538

Содержит графическое изобра

08.12.2002

жение лицевой стороны купюры 

15:35:22

достоинством 50 рублей. Файл 
распечатан из графического 
редактора CorelDRAW v9.337 
на принтере фирмы EPSON моде
ли EPSON STYLUS C62 
(см. Приложение с. 5)

Таблица 2.

Общие признаки исследуемого НЖМД

Объект Емкость Количество 

Имя 

Емкость 

Файловая 

Занято  Каталогов Файлов 

диска

разделов

раздела раздела  система

(байт)

(папок)

(всего)

(диск (байт)

в системе)

НЖМД

40Гб

2

HARDC

10476945408

FAT32

9545441280

2115

41268

(C:)

HADR2

29514285056

FAT32

25102516224

2109

33539

(D:)

– производилось вскрытие корпуса системного блока;
– визуальным осмотром устанавливался состав внутренних аппаратных

компонентов (комплектующих устройств) представленного на исследование
системного блока;

– из системного блока извлекался НЖМД; процедура изъятия носителя

данных обусловлена требованием полной сохранности исследуемой информа
ции путем обеспечения условий, исключающих какуюлибо запись на них новых
данных;

– к системному блоку в соответствии с эксплуатационными правилами

подключались электропитание, монитор и клавиатура;

– системный блок включался, производилась загрузка операционной

системы с системной дискеты эксперта, определение установленной системной
даты и времени, диагностирование входящих в системный блок устройств.

Исследование состояния НЖМД (установленного в системном блоке)

проводилось последовательно по следующей методике:

– визуальным осмотром устанавливался интерфейс, состояние перемы

чек и переключателей НЖМД;

– исследуемый НЖМД помещался в стендовую ПЭВМ; производилась

загрузка операционной системы с загрузочного компактдиска эксперта (сох
ранность данных на исследуемом НЖМД обеспечивалась утилитой PDBlock Lite
фирмы Digital Intelligence Inc.) и программой partinfo.exe (из комплекта
PowerQuest Partition Magic 8.0), определялись технические параметры НЖМД
(количество цилиндров, сторон (головок), секторов на треке, количество секто
ров, размеров секторов и емкости);

– выявлялись таблицы разделов НЖМД с определением их основных па

раметров (начало и конец раздела, тип файловой системы, идентификаторы и
метки разделов);

– определялась логическая адресация системных областей разделов НЖМД

(загрузочной записи, главной файловой таблицы MFT, корневого каталога);

– производился поиск признаков повреждения целостности структуры

данных (несоответствие заявленных параметров раздела фактическим, наличие
сбойных, потерянных кластеров) и устанавливалась возможность доступа к дан
ным на исследуемом НЖМД;

– исследуемый НЖМД помещался во внешний корпус для быстрой сме

ны НЖМД, подключался к лабораторному компьютеру по USBпорту (сохран
ность данных на исследуемом НЖМД обеспечивалась программой NCSF
Software Writeblock XP организации National Center For Forensic Science);

– производилось создание файлаобраза, содержащего точную копию

исследуемого НЖМД на вспомогательном НЖМД лабораторного компьютера
путем посекторного копирования с фиксацией технических параметров форма
та носителя с использованием специального программного обеспечения для
экспертного исследования компьютерных носителей информации;

– осуществлялся вывод в файл на НЖМД лабораторного компьютера

списка всех папок (каталогов) и файлов логических дисков исследуемого
НЖМД.

Исследование файловой системы и информации на НЖМД системного

блока, поступившего на экспертизу, проводилось по следующей методике:

313

Компьютернотехническая экспертиза

312

Н.Н. Федотов

Форензика – компьютерная криминалистика

Перед экспертом поставлены вопросы:
1) Имеются ли в памяти системного блока персонального компьютера,

изъятого в НГКИ, файл, содержащий текстовый фрагмент согласно Приложе
нию? Если данный файл имеется, то каково его месторасположение в памяти
системного блока компьютера?

2) Какова дата создания данного файла?
3) Удалялся ли данный файл, если да, то какова дата его удаления?
4) Подлежит ли данный файл восстановлению, если да, то имеется ли

возможность изготовить его копию на бумажном носителе?

Внешний осмотр поступивших объектов

Картонная коробка, заклеенная фрагментами бумаги, на поверхности ко

торых имеются оттиски круглой печати: «УБОП при УВД ЯНАО*МВД РФ УПРАВ
ЛЕНИЕ ПО БОРЬБЕ С ОРГАНИЗОВАННОЙ ПРЕСТУПНОСТЬЮ*ИНН
8901003107*ПРИ УПРАВЛЕНИИ ВНТРЕННИХ ДЕЛ ЯМАЛОНЕНЕЦКОГО АО ЗО
НАЛЬНЫЙ ОТДЕЛ г. НОЯБРЬСКА» и рукописный текст «ПОНЯТЫЕ 1 (подпись), 2
(подпись)». Целостность упаковки и оттисков печати видимых повреждений не
имеет. При вскрытии упаковки извлечен системный блок в корпусе светлосеро
го цвета (металлик) типоразмера «MiddleTower» максимальными размерами
42,0Х18,0Х43,4 см (высота Х ширина Х длина). Лицевая декоративная накладка
выполнена из пластмассы черного цвета. 

Копия письма (представлена в Приложении к заключению эксперта).

ИССЛЕДОВАНИЕ

1. План исследования
1.1 Исследование системного блока производили в следующей последо

вательности:

– исследование состояния системного блока и определения его техничес

ких характеристик;

– исследование состояния накопителя (НЖМД) и определение его техни

ческих характеристик;

– исследование файловой системы и информации на НЖМД;
– исследование программного обеспечения на НЖМД;
– исследование компьютерной информации с целью поиска текстовых

файлов;

– исследование компьютерной информации с целью поиска удаленных

файлов и их последующего восстановления;

– исследование компьютерной информации с целью поиска програм

много обеспечения для защиты информации и поиск файлов, защищенных при
помощи данного программного обеспечения.

2. Методика исследования
2.1. Исследование системного блока производили по следующей методике:
Исследование состояния системного блока проводилось по следующей

методике:

Россинская Е.Р., Усов А.И. Судебная компьютернотехническая эксперти

за. М., 2001;

Усов А.И. Методы и средства решения задач компьютернотехнической

экспертизы: Учебное пособие. – М.: ГУ ЭКЦ МВД России, 2002;

Судебноэкспертное исследование компьютерных средств и систем: Ос

новы методического обеспечения: Учебное пособие / А.И.Усов // Под ред.
проф. Е.Р.Россинской. М., 2003;

EnCase Forensic Edition v.4. Руководство пользователя. Guidance Software,

2003;

Тушканова О.В. Терминологический справочник судебной компьютерной

экспертизы: Справочное пособие. – М.: ГУ ЭКЦ МВД России, 2005.

4. Результаты исследования
4.1. Исследование системного блока:
Визуальным осмотром установлено, что корпус системного блока,

представленного на экспертизу, внешних повреждений не имеет. Правая боко
вая сторона системного блока опечатана двумя бумажными пломбами с
№№007574, 007573. Представленный системный блок состоит из следующих
комплектующих:

Для последующего исследования на стендовом экспертном оборудова

нии произведено изъятие из системного блока указанного НЖМД. 

В результате исследования состояния системного блока, без НЖМД, уста

новлено:

315

Компьютернотехническая экспертиза

– производился поиск файлов с расширением имен, соответствующих

программамархиваторам; выявленные архивные файлы разархивировались в
отдельную папку (каталог) на НЖМД лабораторного компьютера;

– производился поиск удаленных файлов; файлы, подлежащие восста

новлению, восстанавливались в отдельную папку (каталог) НЖМД лаборатор
ного компьютера;

– производился поиск скрытых (зашифрованных) данных (логических и

виртуальных дисков, папок (каталогов) и файлов данных); 

– определялись признаки поиска информации (ключевые слова, изобра

жения, расширения имен файлов и т.д.), соответствующие задачам исследования;

– производился поиск файлов, содержащих искомые признаки, с по

мощью специальных программ поиска информации на исследуемом носителе
данных (точной копии) и в каталогах с восстановленными и разархивированны
ми файлами на лабораторном компьютере;

– осуществлялся просмотр (визуализация) выявленных файлов, содер

жащих искомые признаки с помощью соответствующего программного обеспе
чения;

– производилась распечатка информации из файлов, содержание кото

рых соответствует задачам исследования.

3. Экспертное оборудование и методическая литература, использован

ные при проведении исследования

3.1. Аппаратнопрограммный комплекс для экспертного исследования

компьютерных носителей информации в составе:

– персональная ЭВМ на базе процессора AMD Athlon XPM 3000+ произ

водства фирмы «MEDION» (Германия);

– лазерный принтер «HP LaserJet 1200» производства «Hewlett Packard»

(США);

– внешний корпус для быстрой смены НЖМД модель USB2.0HDD3EUR1; 
– программное обеспечение для экспертного исследования компьютер

ных носителей информации «EnCase Forensic Edition v.4.20» производства
«Guidance Software Inc.» (США);

– операционная система «Microsoft Windows XP Home Edition» производ

ства «Microsoft» (США);

– прикладное программное обеспечение «Microsoft Word» производства

«Microsoft» (США);

– антивирусное программное обеспечение «eTrust Antivirus v.7.1.192»

фирмы «Computer Associates International Inc.»;

– сервисное программное обеспечение «PDBlock Lite» фирмы «Digital

Intelligence Inc.»;

– сервисное программное обеспечение «NCSF Software Writeblock XP»

организации «National Center For Forensic Science»;

– сервисное программное обеспечение «Partition Magic 8.0» фирмы

«PowerQuest».

3.2. Методическая и справочная литература:
Зубаха В.С., Саенко Г.В., Усов А.И. и др. Общие положения по назначению

и производству компьютернотехнической экспертизы: Методические рекомен
дации. – М.: ГУ ЭКЦ МВД России, 2001;

314

Н.Н. Федотов

Форензика – компьютерная криминалистика

Таблица 1.

Комплектующие, входящие в состав системного блока

Комплек

Фирма

Модель

Серийный Примечание

тующие

изготовитель

номер

Марка

Блок питания

200X

Материнская

ASUS

PSLD2VM

5AM0AB050239

плата
Процессор

INTEL

Серийный номер 

Не извлекался

на вентиляторе 5622D в связи с высо

кой вероятностью 
повреждения

Модуль  

GEIL

512MB

GX25124300X

памяти

PC24300 DDR2533

Дисковод NEC

FD1231H

JAPL58JC0026

(НГМД)
НЖМД

Seagate,

ST3160812AS

5LS06CZY

Эксперт вводит

Barracuda обозначение 

– 

7200.7

НЖМД

Привод NEC  ND4550A

5XC9R92S111

компакт

Corporation

дисков

Исследуемый НЖМД не имеет повреждений целостности структуры дан

ных, доступ к данным возможен.

Исследование файловой системы и информации на НЖМД.
Исследуемый НЖМД подключали к лабораторному компьютеру в качест

ве внешнего съемного диска по USBшине. Исследуемый НЖМД защищали от
записи с помощью программного средства блокирования записи NTFS Software
Writeblock XP (блокиратора записи, разработанного National Center For Forensic
Science). Исследование файловой системы и информации, содержащейся на
НЖМД, проводилось на точной копии (образе) исследуемого накопителя, соз
данного на лабораторном компьютере с помощью программного обеспечения
для экспертного исследования компьютерных носителей информации EnCase
Forensic Edition v.4.20, а также в каталогах с восстановленными и разархивиро
ванными файлами на лабораторном компьютере.

Исследованием установлено, что на НЖМД имеются удаленные и подле

жащие восстановлению файлы. Восстановление удаленной информации произ
ведено при помощи программного обеспечения для экспертного исследования
компьютерных носителей информации EnCase Forensic Edition v.4.20 в отдель
ную папку (каталог) на лабораторном компьютере. 

Исследованием установлено, что на НЖМД имеются файлы с расширени

ем имен, соответствующих программамархиваторам, которые содержат архив
ные файлы. Разархивация выявленной информации произведена в отдельную
папку (каталог) на лабораторном компьютере.

На НЖМД с помощью программного обеспечения для экспертного иссле

дования компьютерных носителей информации EnCase Forensic Edition v.4.20
произведен контекстный поиск информации, соответствующей задаче исследо
вания. В результате проведенного поиска обнаружены файлы, содержащие дан
ные, соответствующие задаче исследования. Обнаруженные файлы описаны в
таблице.

317

Компьютернотехническая экспертиза

– значение системной даты, имеющееся в BIOS представленного на ис

следование системного блока, соответствует текущей;

– значение системного времени, имеющееся в BIOS представленного на

исследование системного блока, соответствует текущему.

Исследование информации на НЖМД.
Исследование состояния накопителя на жестких магнитных дисках

(НЖМД ).

Исследуемый НЖМД помещался в стендовую ПЭВМ; производилась заг

рузка операционной системы с загрузочного компактдиска эксперта (сохран
ность данных на исследуемом НЖМД обеспечивалась утилитой PDBlock Lite
фирмы Digital Intelligence Inc.) и программой partinfo.exe (из комплекта
PowerQuest Partition Magic 8.0), определялись технические параметры НЖМД
(количество цилиндров, сторон (головок), секторов на треке, количество секто
ров, размеров секторов и емкости);

– выявлялись таблицы разделов НЖМД с определением их основных па

раметров (начало и конец раздела, тип файловой системы, идентификаторы и
метки разделов, размер и количество кластеров);

– определялась логическая адресация системных областей разделов

НЖМД (загрузочной записи, главной файловой таблицы MFT, корневого ката
лога).

В результате исследования установлены следующие параметры исследу

емого НЖМД:

Исследуемый НЖМД имеет параметры разделов, приведенные в табли

цах №№3, 4.

316

Н.Н. Федотов

Форензика – компьютерная криминалистика

Таблица 4.

№ п/п

Раздел

Формат 

Номер 

Метка 

Объем 

Занято (байт)

раздела

раздела

раздела

раздела (байт)

НЖМД

№1 (С:)

NTFS

183ED056

41940669952

3829933568

№2 (D:)

NTFS

942AB287

95495468032

70546432

Таблица 5.

Файлы, обнаруженные на НЖМД

№

Накопитель

Путь

Имя Размер 

Примечание

п/п

файла

(байт)

1

НЖМД

C\RECYCLER\S15211456376166

Dc5835.doc

21504

Файл распечатан, 

221560718831758228961614\

с. 12

2

НЖМД

C\RECYCLER\S15211456376166

Dc5780.tmp

21504

Файл распечатан,

221560718831758228961614\

с. 13

Таблица 2.

№ п/п

Значения параметров НЖМД

Количество Количество

Количество

Значение

цилиндров головок

секторов

хэшфункции,

в системе

в системе

на дорожке в системе

рассчитанное

адресации CHS

адресации CHS

адресации CHS

для НЖМД 

по алгоритму MD5

НЖМД

19457

255

16

C7124548E12795B9C15BCEEE1BDF10E9

Таблица 3.

№ п/п

Раздел Тип раздела

Начало раздела

Конец раздела

Цилиндр Сторона Сектор

Цилиндр 

Сторона  Сектор

НЖМД №1 (С:)

NTFS

0

1

1

5098

254

63

Extended

5099

0

1

16708

254

63

№2 (D:)

NTFS

5099

1

1

16708

254

63

Нераз

16709

0

1

19456

254

63

меченная 
область

ВЫВОДЫ:

14. На НЖМД системного блока, представленного на экспертизу, обнару

жен удаленный файл Dc5835.doc, содержание которого аутентично копии пись
ма, представленного на экспертизу. Файл описан в таблице 5 заключения экс
перта и распечатан на с. 12. На основе анализа метаданных данного файла уста
новлено, что он был создан 02.09.2004 11:37:00 пользователем IVANOVA, орга
низация OFFICE (по сведениям, содержащимся в файле Dc5835.doc); изменен
(дата последнего сохранения): 13.09.2005 18:21:00; напечатан (последний раз):
01.10.2004 13:45:00. Пользователем системного блока, представленного на экс
пертизу, согласно данным, имеющимся в файловой системе исследованного
НЖМД, является VETROVA. 

Копии данного файла могут находиться на НЖМД системного блока

пользователя IVANOVA по следующим координатам:

На основе анализа данных, находящихся в $MFT НЖМД, представленно

го на экспертизу, установлено, что удаленный файл Dc5835.doc имел имя файла
в файловой системе «Письмо Петрову.doc». Определить время удаления файла
Dc5835.doc не представляется возможным по причинам, указанным в исследо
вательской части заключения.

На представленном НЖМД обнаружен удаленный файл Dc5780.tmp, ко

торый, вероятно, является временной копией файла Dc5835.doc. Файл описан в
таблице 5 заключения эксперта и распечатан на с. 13.

В свободной области НЖМД (в области, не относящейся к конкретному

файлу файловой системы) системного блока, представленного на экспертизу, в
секторах 3076104959430761051724 и 3076232549830762327628 обнаружена
информация, аутентичная содержанию копии представленного письма. Обна
руженная информация распечатана на с. 10, 11.

319

Компьютернотехническая экспертиза

Кроме того, в свободной области НЖМД (в области, не относящейся к

конкретному файлу файловой системы) в секторах 3076104959430761051724 и
3076232549830762327628 обнаружена информация, аутентичная содержанию
копии письма, которая распечатана на с. 10, 11.

Обнаруженные файлы являются удаленными файлами. Определить вре

мя удаления файлов не представляется возможным, так как файловая система в
данном случае не сохранила подобную служебную информацию. На основе ана
лиза данных, находящихся в $MFT НЖМД, представленного на исследование,
установлено, что удаленный файл Dc5835.doc имел имя файла в файловой сис
теме «Письмо Петрову.doc"

Анализом метаданных обнаруженных файлов установлено: 
Файл 

Dc5835.doc

содержит в метаданных следующие сведения:

Создан: 02.09.2004 11:37:00
Изменен (дата последнего сохранения): 13.09.2005 18:21:00
Напечатан (последний раз): 01.10.2004 13:45:00

Автор: IVANOVA
Организация: OFFICE
Редакция: 3
Общее время правки (в минутах): 63 

Авторы последних 10 изменений:

Файл Dc5780.tmp содержит в метаданных следующие сведения:
Создан: 02.09.2004 11:37:00
Изменен (дата последнего сохранения): 13.09.2005 18:21:00
Напечатан (последний раз): 01.10.2004 13:45:00

Автор: IVANOVA
Организация: OFFICE
Редакция: 3
Общее время правки (в минутах): 63 
Авторы последних 10 изменений:

318

Н.Н. Федотов

Форензика – компьютерная криминалистика

Таблица 7.

Автор

Путь

IVANOVA

C:\Documents and Settings\IVANOVA\Application Data\Microsoft\Word\Автокопия Документ1.asd

IVANOVA

C:\Documents and Settings\IVANOVA\Мои документы\письма\Письмо Петрову.doc 

IVANOVA

C:\Documents and Settings\IVANOVA\Application Data\Microsoft\Word\Автокопия Письмо Петро

ву.asd

IVANOVA

C:\Documents and Settings\IVANOVA\Мои документы\письма\Письмо Петрову.doc 

IVANOVA

C:\Documents and Settings\IVANOVA\Мои документы\письма\Письмо Петрову.doc

Автор

Путь

Автокопия Документ1.asd

C:\Documents and Settings\IVANOVA\Application Data\Microsoft\Word\

Письмо Петрову.doc

C:\Documents and Settings\IVANOVA\Мои документы\письма\

Автокопия Письмо Петрову.asd

C:\Documents and Settings\IVANOVA\Application Data\Microsoft\Word\

Таблица 6.

Автор

Путь

IVANOVA

C:\Documents and Settings\IVANOVA\Application Data\Microsoft\Word\Автокопия Документ1.asd

IVANOVA

C:\Documents and Settings\IVANOVA\Мои документы\письма\Письмо Петрову.doc 

IVANOVA

C:\Documents and Settings\IVANOVA\Application Data\Microsoft\Word\Автокопия Письмо Петро

ву.asd

IVANOVA

C:\Documents and Settings\IVANOVA\Мои документы\письма\Письмо Петрову.doc 

IVANOVA

C:\Documents and Settings\IVANOVA\Мои документы\письма\Письмо Петрову.doc