Компьютерно-техническая экспертиза представляет собой сложный и многогранный процесс, направленный на исследование различных типов компьютерных и информационных объектов. В процессе такой экспертизы проводятся анализы аппаратных и программных средств, а также данных, хранящихся на цифровых носителях информации. Эксперты с использованием передовых технологий могут исследовать как саму технику, так и её взаимодействие с различными программными продуктами, файлами и сетевыми соединениями.

Объекты исследования в рамках компьютерно-технической экспертизы:

Аппаратные объекты:

Серверы, персональные компьютеры (настольные и портативные устройства), мобильные телефоны, планшеты, носители данных (жесткие диски, SSD, магнитные и лазерные диски, USB-накопители и т. п.).

Программные объекты:

Системное и прикладное программное обеспечение, включая операционные системы, офисные и специализированные программы.

Информационные объекты (данные):

Текстовые, графические и мультимедийные файлы, базы данных, служебные и временные файлы системных и прикладных программ, а также файлы журналов событий.

Задачи компьютерно-технической экспертизы:

Эксперты решают широкий спектр задач, включая:

Поиск файлов (в том числе удалённых) с использованием ключевых слов или иных идентификаторов, таких как хеш-суммы, метаданные.

Установление обстоятельств работы в сети Интернет, включая действия пользователя в электронной почте, мессенджерах, посещение веб-сайтов и активности в социальных сетях.

Поиск и восстановление файлов (текстовых, графических, мультимедийных), анализ работы с ними и восстановления удалённых данных.

Анализ мобильных устройств, включая список контактов, СМС-сообщения и данные мессенджеров.

Типовые вопросы, решаемые экспертом в компьютерно-технической экспертизе:

1. Поиск информации на машинных носителях:

Есть ли на жестком диске персонального компьютера файлы или их фрагменты, содержащие текст договора купли-продажи, представленного на экспертизу?

Содержит ли жесткий диск файлы с изображениями оттисков печати? Каковы обстоятельства их появления на устройстве?

Имеются ли на жестком диске персонального компьютера записи о контактах пользователя (номера телефонов, адреса электронной почты)?

Присутствуют ли на носителе данные о проведении операций с платежными поручениями и каковы обстоятельства их создания и обработки?

2. Установление факта изготовления документов на комплекте компьютерной техники:

Составляют ли компоненты компьютерной техники (например, сканер, принтер и системный блок) единый комплекс, который обеспечивает создание представленного документа (например, изображение денежного билета или оттиска печати)?

Если да, то не использовалась ли эта техника для набора текста и печати документа?

Является ли представленное изображение оттиска печати распечаткой файла, найденного на жестком диске?

3. Установление обстоятельств работы в сети Интернет:

Осуществлялся ли доступ в сеть Интернет с представленного компьютера?

Какие сайты посещались с устройства? Были ли сообщения в электронной почте, в системах мгновенных сообщений или интернет-пейджерах?

Какова конфигурация соединения с провайдером, настройки пользователей и пароли, если они имеются на устройстве?

4. Исследование вредоносных программ:

Имеются ли на жестком диске компьютера вредоносные программы, которые могут модифицировать, блокировать, копировать или уничтожать данные?

Были ли на устройстве следы распространения вредоносных программ или их создания? Если да, то какие именно программы были обнаружены и на каком носителе?

5. Исследование программных продуктов:

Присутствуют ли на жестком диске изъятого компьютера программные продукты, указанные в списке из протокола допроса потерпевшего?

Содержат ли эти продукты средства защиты от несанкционированного копирования? Если нет, связано ли это с модификацией программного обеспечения?

Имеются ли на компьютере программы, позволяющие обойти средства защиты от копирования? Если да, то использовались ли они?

6. Исследование баз данных:

Имеются ли на носителях информации базы данных определённых программных продуктов? Каковы их содержание и структура?

7. Исследование мобильных телефонов:

Какое содержимое находится в запоминающих устройствах мобильного телефона и SIM-карте?

Обязательно ли предоставление паролей для доступа к данным на мобильных устройствах, включая коды доступа к SIM-картам?

Передовые методы и технологии в компьютерно-технической экспертизе:

Восстановление удалённых данных: Современные методики восстановления данных позволяют находить даже удалённые файлы, что особенно важно при расследованиях, связанных с утратой информации или манипуляциями с данными.

Анализ метаданных файлов: Метаданные позволяют установить время создания, редактирования и доступа к файлам. Это может быть полезно для верификации подлинности документов, например, в случае с поддельными контрактами или переписками.

Применение специализированных инструментов для анализа вредоносных программ: Для выявления и анализа вредоносных программ используются специализированные утилиты, которые могут выявить скрытые вирусы и трояны, а также восстановить следы их деятельности.

Интернет-следы: Программы для мониторинга и анализа интернет-активности позволяют не только отслеживать посещённые сайты, но и восстанавливать сообщения электронной почты, чат-сообщения, а также данные о транзакциях и действиях в социальных сетях.

Анализ работы с базами данных: Применение систем анализа баз данных помогает установить, какие данные и когда были внесены в систему, а также идентифицировать любые изменения в данных.

Экспертиза мобильных устройств: Исследование мобильных телефонов и планшетов включает восстановление информации с SIM-карт, мобильных приложений и системных журналов. С использованием профессионального ПО можно получить данные, даже если телефон был заблокирован или отформатирован.

Заключение:

Компьютерно-техническая экспертиза позволяет экспертам глубоко исследовать как аппаратные, так и программные объекты, выявляя следы работы с информацией, которую можно использовать в судебных разбирательствах или других правовых процессах. С помощью инновационных методов восстановления и анализа данных возможно восстановление полной картины происходивших событий, будь то манипуляции с документами, действия в сети Интернет или использование мобильных устройств.