Предмет, задачи и нормативно-правовое регулирование КСТЭ

Судебная компьютерно-техническая экспертиза (КСТЭ) является одним из наиболее динамично развивающихся и технологически емких видов судебных экспертиз. В условиях тотальной цифровизации бизнес-процессов, документооборота и финансово-банковской сферы компьютерно-технические исследования стали ключевым процессом при расследовании преступлений в сфере высоких технологий (гл. 28 УК РФ), споров о защите интеллектуальной собственности, фактов недобросовестной конкуренции, кражи коммерческой тайны, а также при оспаривании электронных сделок в арбитражном и гражданском процессе (ст. 75 АПК РФ, ст. 71 ГПК РФ).

Предметом КСТЭ являются фактические данные, устанавливаемые экспертом на основе специальных знаний в области информатики, вычислительной техники, программирования и сетевых технологий, о свойствах компьютерных средств, систем и сетей, содержащихся на них программных комплексах, структурах данных и цифровых следах.

Нормативно-правовая и методическая база КСТЭ включает:

• Уголовно-процессуальный, Арбитражный процессуальный и Гражданский процессуальный кодексы РФ;

• Федеральный закон № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;

• Федеральный закон № 152-ФЗ «О персональных данных»;

• ГОСТ Р ИСО/МЭК 27037-2014 «Средства защиты информации. Технологии обеспечения безопасности. Руководство по идентификации, сбору, изъятию и сохранению цифровых доказательств»;

• Методические рекомендации Экспертно-криминалистического центра МВД России и Российского центра судебно-экспертной деятельности Минюста России.

В зависимости от исследуемых объектов КСТЭ подразделяется на четыре основных вида:

1. Аппаратно-компьютерная экспертиза: Исследование аппаратных средств (накопителей HDD, SSD, NVMe, Flash-карт, материнских плат, контроллеров, серверов);

2. Программно-компьютерная экспертиза: Исследование системного и прикладного программного обеспечения, исходного кода, поиск скрытого или вредоносного ПО (ВПО);

3. Информационно-компьютерная экспертиза (экспертиза данных): Исследование структуры баз данных, системных реестров, журналов событий, файловых систем, поиск и восстановление удаленных текстовых, графических и мультимедийных файлов;

4. Компьютерно-сетевая экспертиза: Исследование сетевого трафика, протоколов взаимодействия, логов веб-серверов, маршрутизаторов, облачных хранилищ и почтовых серверов.

Методы криминалистического исследования цифровых носителей, восстановления данных и анализа артефактов ОС

Криминалистическое исследование цифровых доказательств строго регламентировано принципом неизменяемости первоначальной информации. Любое прямое подключение исследуемого накопителя к операционной системе экспертной станции без специальных защитных средств может привести к модификации служебных метаданных (дат последнего доступа, MFT-записей, журналов) и признанию доказательства недопустимым.

1. Правило криминалистического копирования (Forensic Imaging)

Все манипуляции выполняются исключительно с байт-в-байт копией (образ посекторного дампа) физического накопителя.

• Копирование производится через аппаратные блокираторы записи (Write Blockers), предотвращающие отправку команд записи на исследуемый диск;

• Перед и после снятия образа производится вычисление контрольных сумм криптографических хеш-функций (MD5, SHA-256). Непрерывное совпадение хеш-суммы оригинала и его копии гарантирует аутентичность цифрового доказательства.

2. Восстановление удаленной информации (Data Recovery & Carving)

• Анализ метаданных файловых систем (NTFS, FAT32/exFAT, EXT4, APFS): При стандартном удалении файла операционная система лишь помечает запись о нем в таблице MFT (Master File Table) или иноде как свободную для перезаписи, оставляя сами блоки данных незатронутыми. Эксперт восстанавливает цепочки кластеров по служебным журналам (USN Journal, $LogFile);

• Сигнатурный анализ (File Carving): Посекторный сканирующий поиск заголовков (Header) и концов (Footer) известных типов файлов (например, FF D8 FF для JPEG или 50 4B 03 04 для ZIP/DOCX) в нераспределенном пространстве (Unallocated Space) и области Slack Space диска.

3. Анализ системных артефактов операционных систем (Windows/Linux/macOS)

Сбор цифровых следов жизнедеятельности пользователя и работы приложений включает исследование:

• Реестра Windows (Registry Hives): Настройки системы, подключенные USB-устройства (USBSTOR), список недавно открывавшихся файлов (MRU lists), автозапуск программ;

• Файлов Prefetch и Shimcache: Фиксация фактов и времени запуска конкретных исполняемых файлов (.exe), даже если они были в дальнейшем удалены;

• LNK-файлов и Jump Lists: Анализ ярлыков для подтверждения факта открытия файлов с внешних носителей, включая получение абсолютных путей и серийных номеров томов;

• Журналов событий (Event Logs — .evtx): Анализ входов в систему (Event ID 4624/4625), монтирования внешних дисков, установки служб и сбоев.

4. Экспертиза мобильных устройств (iOS / Android Forensics)

Извлечение данных с современных смартфонов осложнено аппаратным шифрованием (аппаратные ключи Secure Enclave / Titan M). В зависимости от модели применяются три уровня извлечения:

• Логическое (Logical Extraction): Получение резервных копий и медиафайлов через штатные протоколы обмена;

• Файловое (File System Extraction): Снятие полного образа файловой системы с использованием программных эксплойтов (Checkm8, с правами Root/Jailbreak);

• Физическое (Physical Extraction / Chip-Off / JTAG): Выпаивание микросхем памяти NAND Flash и прямое чтение дампа через специализированные программаторы (в случаях сильных физических повреждений устройств).

Сравнительный анализ методов снятия и исследования цифровых доказательств

В нижеприведенной таблице представлены методы криминалистического изъятия и анализа цифровых данных, задействуемые экспертами КСТЭ:

Аппаратно-программный комплекс лаборатории КСТЭ

Лаборатория компьютерно-технической экспертизы Союза «Федерация судебных экспертов» оснащена современным исследовательским оборудованием и сертифицированным софтом мирового уровня:

• Криминалистические станции (Forensic Workstations): Высокопроизводительные многопроцессорные серверные системы с массивами NVMe-накопителей для параллельной обработки больших объемов цифровых данных (до десятков терабайт);
• Аппаратные блокираторы записи: Модули Tableau T8u (USB 3.0), Tableau T35u (SATA/IDE), Tableau T7u (PCIe/NVMe), исключающие запись на аппаратном уровне;
• Программно-аппаратные комплексы мобильной криминалистики: Cellebrite UFED Touch2 / Premium, Оксиген Программинг (Oxygen Forensic Detective);
• Специализированное криминалистическое ПО: Magnet AXIOM, EnCase Forensic, X-Ways Forensics, Belkasoft Evidence Center;
• Инструменты реверс-инжиниринга и анализа кода: Дизассемблеры и декомпиляторы IDA Pro, Ghidra, OllyDbg, x64dbg.

Практический опыт Союза «Федерация судебных экспертов»: Разбор экспертных кейсов

Опыт специалистов Союза «Федерация судебных экспертов» в проведении компьютерно-технических экспертиз позволяет распутывать самые изощренные схемы киберпреступлений, фальсификаций и корпоративных мошенничеств.

Кейс № 1: Расследование хищения 120 млн рублей через систему ДБО с использованием банковского трояна

С банковского счета крупного застройщика через систему дистанционного банковского обслуживания (ДБО) «Клиент-Банк» были несанкционированно переведены 120 миллионов рублей на счета фиктивных организаций. Застройщик предъявил иск к банку, утверждая, что уязвимость находилась на стороне банковского сервера. Банк утверждал, что компрометация платежных ключей произошла на рабочем компьютере главного бухгалтера компании.

Специалисты Союза «Федерация судебных экспертов» провели комплексную КСТЭ рабочего места бухгалтера. Был снят посекторный образ жесткого диска и дамп оперативной памяти. В ходе анализа файла гибернации и реестра эксперты выявили вредоносное программное обеспечение (банковский троян), маскировавшееся под системный процесс svchost.exe. С помощью реверс-инжиниринга в дизассемблере IDA Pro эксперты доказали, что данное ВПО перехватывало одноразовые пароли из SMS-сообщений, подменяло реквизиты платежных поручений в оперативной памяти непосредственно перед их отправкой и автоматически удаляло следы своей работы из журналов событий. Экспертиза доказала, что компрометация произошла вследствие вредоносной атаки на ПК бухгалтера через вредоносное вложение в фишингом письме, что освободило банк от ответственности за несанкционированные переводы.

Кейс № 2: Доказывание факта кражи коммерческой тайны и исходного кода ПО уволившимся IT-директором

IT-компания обнаружила, что ее бывший директор по разработке после увольнения создал фирма-клон и выпустил на рынок программный продукт, полностью копирующий архитектуру и алгоритмы уникальной CRM-системы бывшей компании. Истец обратился в арбитражный суд с иском о взыскании убытков и запрете использования ПО на сумму девяносто миллионов рублей.

Эксперты Союза «Федерация судебных экспертов» провели исследование служебного ноутбука уволенного сотрудника и серверов хранения исходного кода (Git-репозиториев). Анализ MFT-записей, журнала USN и LNK-файлов показал, что за день до увольнения ответчик подключил к ноутбуку внешний накопитель Samsung T5 (зафиксированы серийный номер и GUID тома). С помощью сигнатурного анализа из нераспределенного пространства диска были восстановлены архивы .zip, содержащие полные исходные коды проприетарного алгоритма. Сравнительный анализ структуры исходных кодов в Java/Python двух программных продуктов выявил 94% совпадение архитектуры, включая совпадение названий специфических внутренних переменных и служебных комментариев разработчиков. Факт кражи интеллектуальной собственности был полностью доказан.

Кейс № 3: Выявление фальсификации даты создания электронных документов и файлов PDF с фиктивными актами

В арбитражном процессе о взыскании задолженности по договору подряда ответчик предъявил электронные файлы актов приемки выполненных работ в формате PDF и договор в формате DOCX, доказывающие, по его мнению, своевременное сдачу объекта 3 года назад. Истец заявлял, что эти документы были сфальсифицированы задним числом за неделю до подачи иска.

Специалисты Союза «Федерация судебных экспертов» провели информационно-компьютерную экспертизу предоставленных цифровых носителей. Анализ служебных метаданных PDF-файлов (XMP-метаданных) показал, что тег CreateDate содержал дату 2021 года, однако тег InstanceID и структурированные данные о версии генератора PDF (Adobe Acrobat) указывали на использование версии программы, выпущенной только в 2025 году. При исследовании внутренней структуры файлов DOCX с помощью анализа docProps/core.xml были выхвачены факты искусственной подмены системного времени на локальном компьютере при их сохранении. Эксперты дали категорическое заключение о фальсификации электронных документов задним числом.

Кейс № 4: Извлечение и восстановление удаленной переписки в мессенджерах Telegram и WhatsApp с физически поврежденного смартфона

При расследовании уголовного дела о коммерческом подкупе ключевым доказательством являлась переписка в мессенджерах на смартфоне фигуранта. При задержании подозреваемый попытался уничтожить устройство, разбив экран и деформировав корпус. Изъятый смартфон Android не включался.

Специалисты Союза «Федерация судебных экспертов» провели аппаратно-компьютерную и мобильную экспертизу. На специальном инфракрасном паяльном оборудовании эксперты аккуратно демонторовали микросхему флеш-памяти eMMC/UFS с материнской платы устройства и установили ее в криминалистический программатор (метод Chip-Off). После вычитки полного физического дампа памяти и расшифровки разделов с помощью комплекса Cellebrite UFED эксперты восстановили базу данных SQLite мессенджеров WhatsApp и Telegram. В ходе сигнатурного анализа и вычитки логов SQLite Write-Ahead Log (WAL) были полностью восстановлены удаленные диалоги, медиафайлы и голосовые сообщения с детальной временной привязкой.

Кейс № 5: Компьютерно-сетевая экспертиза по делу о DDoS-атаке и взломе базы данных интернет-магазина

Крупный маркетплейс подвергся разрушительной внешней атаке: веб-сайт был недоступен в течение 3 дней, а база данных клиентов с персональными данными была скомпрометирована. В результате утечки компания понесла прямой ущерб и штрафы на сумму сорок пять миллионов рублей. Под подозрение попала конкурирующая организация.

Эксперты Союза «Федерация судебных экспертов» провели комплексную компьютерно-сетевую экспертизу. Были проанализированы логи веб-серверов Nginx, систем обнаружения вторжений (IDS) и сетевые дампы PCAP. Эксперты восстановили вектор атаки: первоначально была проведена эксплуатация уязвимости SQL-инъекции (SQLi) в форме поиска на сайте, с помощью которой злоумышленники получили доступ к базе данных, после чего запустили распределенную DDoS-атаку (SYN-flood) для маскировки следов выгрузки данных. Сравнительный анализ IP-адресов управляющих серверов ботнета и цифровых отпечатков (JA3 fingerprints) вывел экспертов на конкретные облачные VPS-серверы, арендованные представителем компании-конкурента. Иск маркетплейса о возмещении ущерба был полностью удовлетворен.

Процессуальная значимость заключения и коммерческие возможности сотрудничества

Заключение судебной компьютерно-технической экспертизы, подготовленное специалистами Союза «Федерация судебных экспертов», представляет собой исчерпывающий, процессуально безупречный документ высокой доказательственной силы. Каждая экспертиза подкрепляется доказательственным пакетом: протоколами расчета хеш-сумм, распечатками бинарных дампов, логическими схемами сетевых атак, графиками временных корреляций событий (Timeline analysis) и наглядными фототаблицами исследуемого оборудования.

Союз «Федерация судебных экспертов» располагает собственной специализированной лабораторией КСТЭ, передовым программно-аппаратным комплексом (Cellebrite, Tableau, Magnet AXIOM, IDA Pro) и штатом аттестованных судебных экспертов, имеющих высшее профильное образование в области информационной безопасности и судебно-экспертной деятельности, а также профильные международные сертификаты.

Если вам необходимо провести судебную или внесудебную компьютерно-техническую экспертизу, восстановить удаленные данные, расследовать факт утечки информации, проверить оригинальность электронных документов или получить рецензию на стороннее экспертное заключение, вы можете обратиться в Союз «Федерация судебных экспертов». Организация гарантирует глубокий профессиональный анализ, абсолютную конфиденциальность и квалифицированную защиту результатов экспертизы в судах любого уровня.