Союз «Федерация судебных экспертов» предлагает проведение судебных и досудебных исследований по широкому спектру задач, связанных с информационными технологиями. Настоящая работа посвящена прикладным аспектам ИТ экспертизы, которая в отличие от потребительских споров о поломках оборудования, сосредоточена на анализе несанкционированного доступа, шпионского программного обеспечения, оценке качества разработки программных продуктов, сайтов и баз данных, а также на поиске и восстановлении цифровых следов и утраченных данных. Стоимость наших исследований начинается от 20 000 рублей, выезд эксперта на место осмотра оплачивается дополнительно. В случаях, когда требуется представление интересов в суде, с вами будут работать юристы нашей организации, имеющие значительный опыт ведения сложных категорий дел.

Введение

Цифровая среда давно перестала быть просто инструментом, она стала пространством, где совершаются сделки, хранятся активы, ведутся переговоры и фиксируются обязательства. В этой среде возникают конфликты, которые невозможно разрешить без специальных знаний. ИТ экспертиза в рамках Союза «Федерация судебных экспертов» представляет собой не просто техническое исследование, а процессуально значимую деятельность, направленную на установление фактов, имеющих доказательственное значение. Предметом такой экспертизы становятся не абстрактные алгоритмы, а конкретные следы: учётные записи, журналы событий, фрагменты кода, метаданные файлов, сетевые соединения и артефакты, оставленные вредоносными программами.

Раздел 1. Предмет и объекты исследования в рамках ИТ экспертизы

1.1. Разграничение компетенций: от бытового спора к цифровому инциденту

Когда пользователь сталкивается с поломкой компьютера, речь идёт о диагностике аппаратной части, которая не требует анализа следов вторжения. ИТ экспертиза начинается там, где возникает вопрос о наличии или отсутствии умысла, о факте несанкционированного доступа, о качестве выполненной разработчиком работы или о причинах утраты данных, которые не сводятся к отказу жёсткого диска. Объектами исследования становятся программное обеспечение, базы данных, веб-приложения, серверная инфраструктура, мобильные устройства и сетевые взаимодействия. Эксперт отвечает на вопросы о том, был ли взлом, каким образом он осуществлён, какие данные были похищены или изменены, соответствует ли созданный программный продукт условиям договора и техническому заданию.

В рамках ИТ экспертизы, проводимой специалистами Союза «Федерация судебных экспертов», исследуются не только очевидные проявления инцидента, но и скрытые следы, которые могут быть обнаружены только при побитовом копировании носителей и анализе служебных структур файловых систем. Такой подход позволяет отделить случайные сбои от целенаправленных действий и предоставить суду или сторонам конфликта объективную картину произошедшего.

1.2. Ключевые категории дел, требующих назначения исследования

Практика показывает, что наиболее часто ИТ экспертиза востребована в следующих категориях ситуаций:

• споры о качестве разработки программного обеспечения, сайтов и баз данных, когда заказчик утверждает, что продукт не соответствует заявленным требованиям, а исполнитель настаивает на выполнении обязательств;
• инциденты информационной безопасности, связанные с несанкционированным доступом, кражей учётных данных, внедрением шпионского программного обеспечения и кейлоггеров;
• дела о неправомерном использовании контрафактного программного обеспечения и нарушении авторских прав;
• ситуации утраты цифровых данных, когда требуется не просто восстановить файлы, но и установить причину их исчезновения или порчи;
• корпоративные расследования, связанные с утечкой конфиденциальной информации и действиями недобросовестных сотрудников;
• уголовные дела, где цифровые артефакты выступают в качестве доказательств или требуют проверки на достоверность.

Каждая из этих категорий требует применения специфического инструментария и методологии, однако все они объединены необходимостью работы с цифровыми следами, которые подчиняются строгим правилам сохранения целостности. Нарушение этих правил на этапе изъятия или транспортировки носителей способно свести на нет результаты самого квалифицированного исследования.

1.3. Роль Союза «Федерация судебных экспертов» в обеспечении процессуальной допустимости

Обращение в Союз «Федерация судебных экспертов» позволяет заказчику получить заключение, которое изначально ориентировано на использование в судебном процессе. Это означает, что с момента получения объекта исследования выстраивается цепочка сохранности доказательств: фиксируются контрольные суммы носителей, ведётся журнал действий эксперта, обеспечивается изоляция объектов от внешнего воздействия. Для суда важна не только техническая корректность выводов, но и возможность проверить, каким образом эксперт пришёл к тому или иному заключению. Поэтому в наших исследованиях подробно описываются использованные инструменты, версии программного обеспечения, последовательность шагов и ограничения, с которыми пришлось столкнуться.

ИТ экспертиза в Москве и других регионах проводится с учётом требований процессуального законодательства, что делает заключение пригодным для представления в арбитражном суде, суде общей юрисдикции или на стадии предварительного следствия. При необходимости наши юристы обеспечивают сопровождение дела в суде, однако сама экспертная деятельность остаётся независимой от интересов сторон.

Раздел 2. Методологические основы исследования следов взлома и вредоносного кода

2.1. Анализ учётных записей и журналов событий как базовая процедура

Обнаружение следов несанкционированного доступа начинается с изучения журналов безопасности операционной системы. В Windows это журналы Security, System и Application, в Unix-подобных системах — syslog, auth.log и журналы приложений. Эксперт исследует события входа в систему, создания и изменения учётных записей, изменения прав доступа, подключения внешних устройств и сетевые соединения. Особое внимание уделяется временным аномалиям: вход в нерабочее время, подключение с нетипичного IP-адреса, создание учётной записи за несколько дней до инцидента.

В одном из наших исследований, связанном с утечкой клиентской базы, анализ журналов позволил восстановить хронологию событий. Была обнаружена учётная запись, созданная за три дня до копирования данных, подключение к ней с внешнего адреса и последующее удаление журналов. Часть удалённых записей была восстановлена из теневых копий и нераспределённого пространства, что дало возможность установить точное время копирования базы и объём похищенных данных. Подобные результаты достигаются благодаря комплексному подходу, при котором журналы операционной системы сопоставляются с артефактами реестра, данными браузеров и сетевыми логами.

2.2. Статический и динамический анализ вредоносных программ

Когда речь идёт о шпионском программном обеспечении, кейлоггерах или программах-вымогателях, эксперт сталкивается с необходимостью исследовать код, который изначально создавался для сокрытия своего назначения. Статический анализ предполагает изучение исполняемого файла без его запуска: дизассемблирование, анализ строк, импортируемых функций, секций и сигнатур. Современные инструменты позволяют выявить признаки упаковки, обфускации и антиотладочных приёмов, которые указывают на попытку затруднить исследование.

Динамический анализ, напротив, предполагает запуск образца в изолированной среде с фиксацией всех действий: создания файлов, изменения реестра, сетевых соединений, попыток внедрения в другие процессы. Комбинация двух подходов даёт наиболее полную картину. В практике Союза «Федерация судебных экспертов» был случай, когда на изъятом ноутбуке были обнаружены исполняемые файлы с признаками шифровальщика, а также исходные коды на Python и сборочные скрипты. Динамический анализ в песочнице подтвердил, что программа устанавливает соединение с внешним сервером управления и производит шифрование файлов определённых расширений. Это позволило не только квалифицировать программу как вредоносную, но и установить, что она компилировалась на исследуемом устройстве, а следы её распространения ведут к конкретным учётным записям в мессенджерах.

2.3. Исследование сетевых артефактов и признаков удалённого воздействия

Сетевые следы играют ключевую роль в установлении факта удалённого взлома. Даже если злоумышленник пытался скрыть своё присутствие, на уровне сетевого оборудования, брандмауэра или провайдера могут сохраниться записи о соединениях. В рамках ИТ экспертизы анализируются дампы трафика, логи прокси-серверов, записи DNS и данные о разрешении имён. При наличии шифрования эксперт оценивает возможность извлечения ключей из памяти клиентского или серверного приложения, а также изучает метаданные TLS-соединений.

Отдельное направление — анализ следов использования средств удалённого администрирования. Программы вроде TeamViewer, AnyDesk или специализированных RAT-инструментов оставляют характерные артефакты в реестре, файловой системе и сетевых журналах. Установление факта удалённого подключения и его временных рамок часто становится решающим аргументом в спорах о том, имел ли место взлом или действия выполнялись самим пользователем.

Раздел 3. Оценка качества разработки программных продуктов, сайтов и баз данных

3.1. Соответствие техническому заданию и договорным требованиям

Споры между заказчиками и разработчиками часто возникают из-за несовпадения ожиданий и фактического результата. ИТ экспертиза в таких случаях направлена на объективное сопоставление созданного продукта с техническим заданием, проектной документацией и условиями договора. Эксперт исследует функциональность программного обеспечения, наличие и работоспособность заявленных модулей, корректность обработки данных, устойчивость к нагрузкам и соответствие требованиям безопасности.

Важно понимать, что эксперт не оценивает «удобство» или «красоту» интерфейса, если эти параметры не были формализованы в документах. Его задача — установить, выполнены ли конкретные требования, и если нет, то в чём именно заключается несоответствие и является ли оно существенным. В одном из исследований, проведённых специалистами Союза «Федерация судебных экспертов», рассматривался спор о разработке корпоративной информационной системы. Заказчик утверждал, что система не выдерживает заявленной нагрузки и теряет данные при одновременной работе более пятидесяти пользователей. Экспертиза выявила ошибки в архитектуре базы данных и отсутствие индексов, которые приводили к блокировкам и таймаутам, что подтвердило обоснованность претензий.

3.2. Исследование баз данных на предмет целостности и следов модификации

Базы данных являются одним из наиболее ценных объектов как для бизнеса, так и для злоумышленников. В рамках ИТ экспертизы исследуется структура базы, схема таблиц, ограничения целостности, триггеры и хранимые процедуры. Анализ журналов транзакций позволяет восстановить историю изменений, выявить удалённые записи и установить, кем и когда были внесены те или иные правки. Это особенно востребовано в корпоративных конфликтах, когда требуется доказать факт хищения данных или умышленного искажения информации.

Отдельного внимания заслуживают следы SQL-инъекций и других атак на базы данных. Эксперт изучает логи веб-сервера и приложения, ищет характерные паттерны в запросах, а также признаки эксплуатации уязвимостей, связанных с конкатенацией строк и отсутствием параметризации. Если атака привела к утечке данных, анализ позволяет оценить объём похищенного и определить, какие именно таблицы и поля были затронуты.

3.3. Оценка сайтов и веб-приложений: от работоспособности до уязвимостей

Веб-разработка сопряжена с рисками, которые не всегда очевидны для заказчика на этапе приёмки. Сайт может внешне выглядеть корректно, но содержать уязвимости, позволяющие получить доступ к административной панели или выполнить произвольный код на сервере. ИТ экспертиза включает проверку механизмов аутентификации и авторизации, анализ обработки пользовательского ввода, исследование конфигурации сервера и компонентов, отвечающих за хранение сессий.

Если site был взломан, экспертиза устанавливает вектор проникновения: была ли использована уязвимость в CMS, слабый пароль, украденная сессия или ошибка в собственном коде приложения. Восстановление хронологии взлома опирается на логи веб-сервера, артефакты файловой системы и записи о changes в базе данных. В случае спора о качестве разработки эксперт может указать на конкретные недостатки, которые привели к компрометации, и оценить, являются ли они следствием небрежности исполнителя или результатом внешнего вмешательства.

Раздел 4. Поиск и восстановление цифровых данных как направление ИТ экспертизы

4.1. Принципы работы с носителями: от побитового образа до анализа нераспределённого пространства

Восстановление данных начинается с создания побитовой копии носителя. Работа с оригиналом недопустима, поскольку любые операции записи могут уничтожить следы, которые ещё можно извлечь. После создания образа эксперт анализирует файловую систему: таблицу размещения файлов (MFT в NTFS), журналы, теневые копии, а также нераспределённое пространство. Удалённый файл не исчезает мгновенно: его запись в MFT помечается как свободная, но сами кластеры данных сохраняются до тех пор, пока не будут перезаписаны новой информацией.

Для восстановления файлов по сигнатурам применяется карвинг — метод, при котором эксперт ищет характерные заголовки и окончания файлов определённых форматов в нераспределённом пространстве. Это позволяет извлечь документы, изображения и архивы даже в тех случаях, когда файловая система повреждена или записи MFT уничтожены. В практике наших исследований встречались случаи, когда документы, удалённые несколько лет назад, успешно восстанавливались с дисков, которые не подвергались полной перезаписи.

4.2. Восстановление данных из теневых копий и служебных файлов

Операционная система Windows создаёт теневые копии (Volume Shadow Copy) в рамках механизма защиты системы и восстановления. Эти копии могут содержать предыдущие версии файлов, которые были изменены или удалены. Эксперт монтирует теневые копии и сравнивает их содержимое с текущим состоянием файловой системы. Это особенно эффективно в случаях, когда злоумышленник удалил документы или внёс изменения, а затем попытался скрыть следы.

Служебные файлы, такие как pagefile.sys (файл подкачки) и hiberfil.sys (файл гибернации), также могут содержать фрагменты документов, которые открывались в оперативной памяти. Анализ этих файлов позволяет извлечь текстовые фрагменты, изображения и другие данные, которые не сохранились на диске в явном виде. Однако следует учитывать, что содержимое этих файлов фрагментарно и требует кропотливой работы по идентификации и сборке разрозненных частей.

4.3. Установление причин утраты данных: действия пользователя или внешнее воздействие

Восстановление данных — это не только техническая процедура, но и ответ на вопрос о том, почему информация была утрачена. Экспертиза позволяет различить случайное удаление, сбой программного обеспечения, аппаратную неисправность и целенаправленное уничтожение следов. Анализ журналов, временных меток и артефактов позволяет восстановить последовательность событий.

В одном из дел, связанных с увольнением сотрудника и последующей утратой клиентской базы, экспертиза установила, что база была скопирована на внешний носитель за несколько дней до увольнения, а затем оригинальные файлы были удалены с сервера. Временные метки и журналы доступа подтвердили, что удаление производилось с учётной записи сотрудника в нерабочее время. Восстановление удалённых файлов позволило не только подтвердить факт копирования, но и сопоставить содержимое базы с той версией, которая впоследствии использовалась конкурирующей организацией.

Раздел 5. Практические кейсы и результаты исследований

Кейс 1. Утечка клиентской базы через скомпрометированную учётную запись

В производстве Союза «Федерация судебных экспертов» находилось дело о хищении базы клиентов из информационной системы торговой компании. Заказчик обнаружил, что конкурирующая организация располагает сведениями, которые могли быть получены только из его внутренней базы. Руководство компании подозревало одного из системных администраторов, однако прямых доказательств не было.

Перед экспертами были поставлены вопросы: имел ли место несанкционированный доступ к базе данных, каким образом он был осуществлён, какие данные были скопированы и когда. Для ответа на эти вопросы был исследован сервер базы данных, контроллер домена и рабочая станция подозреваемого сотрудника. С серверов были созданы побитовые образы, которые в дальнейшем анализировались в лабораторных условиях.

Анализ журналов безопасности Windows показал, что за три дня до предполагаемой даты утечки была создана учётная запись с именем, имитирующим служебную запись системы. С этой учётной записи выполнялось подключение к серверу базы данных с внешнего IP-адреса, не принадлежащего компании. В журналах брандмауэра сохранились записи о соединениях на порт, используемый для удалённого доступа к СУБД. Сопоставление временных меток с данными провайдера подтвердило, что IP-адрес принадлежал домашнему подключению подозреваемого сотрудника.

На рабочей станции сотрудника были обнаружены артефакты, указывающие на использование клиентского приложения для подключения к базе данных в указанное время. В кэше браузера сохранились страницы с инструкциями по настройке удалённого доступа. Кроме того, на подключённом внешнем накопителе были восстановлены удалённые файлы, содержавшие выгрузку клиентской базы объёмом более двух гигабайт. Метаданные файлов и журналы копирования позволили установить точное время создания выгрузки.

Заключение экспертов содержало выводы о том, что доступ к базе данных был осуществлён с использованием учётной записи, созданной в обход установленного порядка, с внешнего адреса, соответствующего месту жительства сотрудника. Факт копирования базы на внешний носитель был подтверждён восстановленными файлами и журналами. Суд принял заключение в качестве доказательства, и оно легло в основу решения о взыскании ущерба.

Кейс 2. Исследование программы-вымогателя, разработанной с использованием легальных инструментов

В правоохранительные органы поступило заявление от организации, файлы которой были зашифрованы, а на экране отображалось требование перевести криптовалюту за восстановление доступа. Подозреваемый был задержан, у него изъяли ноутбук и внешний жёсткий диск. Следствие нуждалось в установлении того, является ли изъятое оборудование средством разработки вредоносной программы, и если да, то какова её функциональность.

Эксперты Союза «Федерация судебных экспертов» провели статический и динамический анализ исполняемых файлов, обнаруженных на носителях. Статический анализ выявил наличие упаковщика и обфускации, однако после распаковки удалось обнаружить строки, указывающие на операции с файлами и вызовы криптографических библиотек. Динамический анализ в изолированной среде показал, что программа при запуске создаёт копии файлов с изменённым расширением, шифрует их и удаляет оригиналы. Соединение с внешним сервером происходило по протоколу, характерному для управления ботнет-сетями.

На внешнем диске были обнаружены исходные коды на Python и C++, а также сборочные скрипты и файлы конфигурации. Анализ исходного кода позволил установить, что программа разрабатывалась поэтапно: сначала был создан модуль шифрования, затем модуль распространения через электронную почту и мессенджеры. Компиляция исполняемых файлов производилась на изъятом ноутбуке, о чём свидетельствовали пути сборки, сохранённые в отладочных символах.

Отдельное внимание было уделено следам распространения. В кэше браузера и журналах мессенджеров сохранились записи о создании архивов с вредоносным вложением и их отправке по списку адресов. Сопоставление времени отправки с временем заражения систем потерпевших позволило установить связь между действиями подозреваемого и наступившими последствиями. Заключение экспертов подтвердило, что изъятое оборудование использовалось для разработки, компиляции и распространения программы-вымогателя.

Кейс 3. Спор о качестве разработки интернет-магазина и утрате заказов

Между индивидуальным предпринимателем и веб-студией возник спор по договору на разработку интернет-магазина. Заказчик утверждал, что после запуска сайта периодически теряются заказы, а в пиковые периоды нагрузка приводит к недоступности ресурса. Исполнитель настаивал на том, что сайт соответствует техническому заданию, а проблемы вызваны действиями хостинг-провайдера.

Экспертиза началась с изучения технического задания и договора, в которых были указаны требования к одновременной нагрузке и сохранности данных. Далее был исследован сам сайт: код приложения, конфигурация сервера, структура базы данных. Анализ показал, что при оформлении заказа данные записывались в базу без использования транзакций, а при возникновении ошибки на этапе отправки уведомления происходил откат части операций. В результате заказ мог быть создан в интерфейсе пользователя, но не сохранён в базе.

Кроме того, в конфигурации веб-сервера были обнаружены настройки, ограничивающие количество одновременных подключений на уровне, который был ниже заявленного в техническом задании. При превышении этого лимита новые пользователи получали ошибку соединения. Логи сервера подтвердили, что в часы пиковой нагрузки количество отказов достигало значительных величин.

Эксперты также проанализировали базу данных на предмет целостности. Были обнаружены записи о заказах, которые присутствовали в логах приложения, но отсутствовали в таблице заказов. Временные метки указывали на моменты, когда происходили сбои. Это позволило количественно оценить объём утраченных данных и подтвердить, что причиной является не хостинг, а архитектурные решения, принятые разработчиком.

Заключение содержало выводы о несоответствии сайта требованиям технического задания в части обработки заказов и устойчивости к нагрузке. Суд удовлетворил требования заказчика, опираясь на результаты исследования.

Кейс 4. Восстановление удалённой переписки и установление факта передачи конфиденциальных сведений

В рамках корпоративного конфликта работодатель обвинил бывшего сотрудника в передаче коммерческой тайны конкуренту. Сотрудник утверждал, что вся переписка велась в рабочем мессенджере и не содержала конфиденциальной информации. Работодатель, в свою очередь, располагал сведениями о том, что передача осуществлялась через личный аккаунт.

Экспертам был предоставлен рабочий компьютер сотрудника и его личный смартфон. На компьютере были обнаружены следы использования десктопной версии мессенджера с личной учётной записью, вход в которую осуществлялся в рабочее время. Локальная база данных мессенджера содержала сообщения, часть которых была удалена. Восстановление записей из журналов и резервных копий приложения позволило извлечь тексты сообщений и метаданные о вложениях.

Анализ восстановленной переписки показал, что сотрудник передавал файлы, содержащие клиентские списки и описание ценовой политики, на адрес, связанный с конкурирующей организацией. Временные метки сообщений совпадали с периодами, когда сотрудник ещё работал в компании, что исключало версию о случайной отправке после увольнения. На смартфоне были обнаружены копии тех же файлов, полученные через мессенджер.

Дополнительно был проведён анализ сетевых соединений на рабочем компьютере. Журналы прокси-сервера содержали записи о подключениях к серверам мессенджера в моменты, соответствующие отправке сообщений. Это подтвердило, что передача осуществлялась с рабочего места в рабочее время, что усиливало позицию работодателя.

Заключение экспертов было использовано в суде для подтверждения факта разглашения конфиденциальной информации. Суд принял во внимание восстановленную переписку и метаданные файлов как допустимые доказательства.

Кейс 5. Анализ инцидента с шпионским программным обеспечением на корпоративном ноутбуке

Руководство компании обратилось в Союз «Федерация судебных экспертов» после того, как сотрудник службы безопасности обнаружил подозрительную сетевую активность на ноутбуке одного из менеджеров. Устройство периодически отправляло небольшие объёмы данных на внешний адрес, который не был связан с корпоративной инфраструктурой. Менеджер утверждал, что не устанавливал никаких программ и не знает о происхождении активности.

Эксперты получили побитовый образ жёсткого диска ноутбука и дампы сетевого трафика за период, предшествующий инциденту. Анализ файловой системы выявил скрытую папку в директории пользовательских данных, содержащую исполняемый файл с именем, имитирующим системный компонент. Файл отсутствовал в списке установленных программ и не имел цифровой подписи.

Статический анализ исполняемого файла показал наличие функций для захвата нажатий клавиш, создания скриншотов и отправки данных по протоколу HTTP. Динамический анализ в песочнице подтвердил, что программа устанавливает соединение с внешним сервером и передаёт сформированные пакеты с данными. Сопоставление сетевых дампов с временем работы ноутбука позволило установить, что передача происходила в моменты, когда менеджер работал с документами, содержащими сведения о сделках.

Дальнейшее исследование показало, что программа была установлена за несколько недель до обнаружения. В журналах установки сохранились записи о запуске исполняемого файла из вложения электронного письма. Отправитель письма был замаскирован под внутреннего сотрудника, однако анализ заголовков показал, что письмо пришло с внешнего адреса. Менеджер подтвердил, что открывал вложение, которое выглядело как документ, но не запускал никаких установок. Это соответствовало поведению эксплойта, который использовал уязвимость в приложении для чтения документов.

Заключение экспертов содержало выводы о наличии на устройстве программы, обладающей признаками шпионского программного обеспечения, и о факте передачи данных на внешний сервер. Были даны рекомендации по устранению последствий и предотвращению подобных инцидентов в будущем.

Кейс 6. Спор о контрафактности программного обеспечения в бухгалтерии предприятия

Налоговая проверка выявила использование на предприятии программного обеспечения, которое не значилось в лицензионных соглашениях. Предприятие настаивало на том, что все программы были приобретены у официального поставщика, однако документы были утеряны. Для установления факта использования контрафактных копий была назначена ИТ экспертиза.

Эксперты исследовали жёсткие диски компьютеров бухгалтерии и сервер, на котором хранились установочные файлы и резервные копии. Анализ исполняемых файлов показал, что часть программ имеет изменённые цифровые подписи и модифицированные исполняемые модули. Сравнение контрольных сумм с эталонными значениями, предоставленными правообладателем, подтвердило, что файлы не являются оригинальными.

В журналах установки и реестре сохранились записи о том, что программы устанавливались с сетевого ресурса, не связанного с официальным дистрибьютором. На одном из компьютеров были обнаружены файлы, содержащие инструкции по обходу активации, а также утилиты для блокировки проверки лицензий. Временные метки указывали на то, что установка производилась в период, когда предприятие уже должно было располагать приобретёнными лицензиями, но документы отсутствовали.

Эксперты также проанализировали использование программ в течение проверяемого периода. Журналы приложений и артефакты файловой системы подтвердили, что контрафактные копии запускались и использовались для ведения бухгалтерского учёта. Это позволило оценить масштаб нарушения и период, в течение которого оно продолжалось.

Заключение было использовано в суде для подтверждения факта использования нелицензионного программного обеспечения. Предприятие было привлечено к ответственности, а размер компенсации определялся с учётом данных, полученных в ходе экспертизы.

Кейс 7. Восстановление данных после умышленного форматирования сервера

Компания столкнулась с ситуацией, когда уволенный системный администратор, по версии руководства, перед уходом отформатировал сервер, содержащий рабочие документы и базу данных клиентов. Администратор утверждал, что форматирование было вынужденным и связанным с технической необходимостью, а данные были перенесены на другой носитель, который впоследствии вышел из строя.

Эксперты получили серверный жёсткий диск, который был отформатирован, но не подвергался перезаписи. Работа началась с создания побитового образа и анализа файловой системы. Были обнаружены остатки записей MFT, указывающие на существование большого количества файлов, включая базы данных и документы. Карвинг по сигнатурам позволил извлечь значительное число файлов, включая архивы баз данных и офисные документы.

Анализ временных меток восстановленных файлов показал, что они создавались и изменялись в течение длительного периода, предшествующего форматированию. Журналы системы, сохранившиеся в теневых копиях и нераспределённом пространстве, содержали записи о выполнении команды форматирования. Учётная запись, с которой выполнялась команда, принадлежала администратору, а время выполнения совпадало с периодом, когда он оставался на рабочем месте после окончания рабочего дня.

Восстановленная база данных была проанализирована на предмет целостности. Часть записей отсутствовала, однако оставшиеся данные позволили подтвердить, что база содержала актуальную клиентскую информацию на момент форматирования. Сопоставление с резервными копиями, которые велись ранее, показало, что восстановленная версия ближе к последнему рабочему состоянию, чем любая из имевшихся копий.

Заключение экспертов подтвердило факт умышленного форматирования и позволило восстановить значительную часть утраченных данных. Руководство компании использовало результаты экспертизы в суде для взыскания ущерба с бывшего сотрудника.

Кейс 8. Исследование инцидента с компрометацией сайта и подменой платёжных реквизитов

Владелец интернет-магазина обнаружил, что на сайте в течение нескольких дней отображались изменённые реквизиты для оплаты, в результате чего покупатели переводили деньги на счёт злоумышленников. Сайт работал на популярной CMS, и первоначально предполагалось, что причиной стала уязвимость в одном из плагинов. Однако владелец подозревал, что доступ к административной панели был получен через украденные учётные данные кого-то из сотрудников.

Эксперты исследовали сервер, на котором размещался сайт, и получили логи веб-сервера за период, охватывающий несколько недель до инцидента. Анализ логов показал, что за несколько дней до подмены реквизитов в административную панель выполнялся вход с IP-адреса, который ранее не использовался сотрудниками. Вход был осуществлён с правильным паролем, что указывало на возможную утечку учётных данных.

Дальнейшее исследование выявило, что на компьютере одного из сотрудников, имевшего доступ к админпанели, было обнаружено вредоносное расширение для браузера, которое перехватывало вводимые данные и отправляло их на внешний сервер. Расширение было установлено за несколько недель до инцидента, когда сотрудник скачал его с сайта, замаскированного под официальный магазин расширений.

Сопоставление времени установки расширения, времени входа в админпанель с чужого IP-адреса и времени изменения реквизитов позволило восстановить полную картину. Злоумышленник получил учётные данные через перехват, вошёл в панель управления и внёс изменения в шаблон страницы оплаты. Логи подтвердили, что изменения вносились в те часы, когда сотрудник не работал, что исключало его причастность к инциденту.

Заключение экспертов было использовано для обращения в правоохранительные органы и для уведомления платёжных систем. Владелец магазина также использовал результаты для усиления мер безопасности и обучения сотрудников.

Кейс 9. Анализ несоответствия функциональности мобильного приложения заявленным требованиям

Заказчик разработки мобильного приложения для доставки обратился с претензией к исполнителю. По его словам, приложение не выполняло часть функций, указанных в техническом задании: не сохраняло историю заказов при отсутствии сети, не отправляло уведомления при изменении статуса заказа и работало некорректно на устройствах с определённой версией операционной системы. Исполнитель утверждал, что все требования выполнены, а проблемы связаны с особенностями устройств заказчика.

Эксперты изучили техническое задание, проектную документацию, исходный код и собранные версии приложения. Тестирование проводилось на нескольких устройствах с разными версиями операционной системы. Было подтверждено, что функция сохранения истории заказов при отсутствии сети не реализована: приложение не использовало локальное хранилище для кэширования данных, а при потере соединения просто отображало ошибку.

Функция уведомлений также оказалась нерабочей на части устройств. Анализ кода показал, что для отправки уведомлений использовался устаревший API, который не поддерживается на более новых версиях операционной системы. Это не было указано в техническом задании как допустимое ограничение. Кроме того, в коде были обнаружены фрагменты, скопированные из открытых источников без указания авторства, что нарушало условия лицензии и создавало риски для заказчика.

Эксперты также проверили работу приложения на устройствах с заявленной в техническом задании версией операционной системы. На части устройств приложение запускалось, но при попытке оформить заказ происходил сбой, вызванный ошибкой в обработке ответа сервера. Логи приложения, собранные в ходе тестирования, содержали сообщения об исключениях, которые не обрабатывались.

Заключение содержало выводы о несоответствии приложения ряду требований технического задания. Суд принял результаты экспертизы во внимание при разрешении спора между заказчиком и исполнителем.

Кейс 10. Установление факта удалённого доступа к рабочему компьютеру при споре об утечке

Работодатель обвинил сотрудника в том, что тот скопировал конфиденциальные документы на личный носитель. Сотрудник утверждал, что к его компьютеру был получен удалённый доступ посторонним лицом, и он не имеет отношения к копированию. Для проверки этой версии была назначена ИТ экспертиза.

Эксперты исследовали рабочий компьютер сотрудника, журналы системы и сетевые логи. Было установлено, что на компьютере использовалась программа удалённого администрирования, которая не входила в перечень разрешённого программного обеспечения. Программа была установлена за несколько дней до инцидента. Журналы программы содержали записи о подключениях с внешнего IP-адреса в ночное время, когда сотрудник отсутствовал на рабочем месте.

Однако дальнейший анализ показал, что установка программы и подключения были инициированы с учётной записи сотрудника, но не с его рабочего места. Сопоставление с журналами контроллера домена и данными о физическом доступе в офис показало, что в момент установки сотрудник находился в командировке. Это указывало на то, что учётные данные сотрудника были скомпрометированы и использованы третьим лицом.

Анализ сетевых соединений позволил установить, что копирование документов на внешний носитель происходило в сеансе удалённого доступа. На компьютере были обнаружены артефакты, подтверждающие подключение USB-устройства в указанное время. Однако сотрудник в этот момент не находился в офисе, что подтверждалось данными системы контроля доступа и показаниями свидетелей.

Заключение экспертов содержало вывод о том, что доступ к компьютеру осуществлялся удалённо с использованием скомпрометированных учётных данных, а копирование файлов производилось в рамках этого сеанса. Это позволило снять подозрения с сотрудника и сосредоточить расследование на поиске лица, получившего несанкционированный доступ.

Заключительная часть

ИТ экспертиза в том виде, в каком её проводит Союз «Федерация судебных экспертов», представляет собой синтез технических знаний и процессуальных требований. Она не сводится к запуску антивирусных сканеров или восстановлению файлов; её суть — в установлении фактов, которые могут быть положены в основу судебного решения или использованы для разрешения конфликта. Будь то спор о качестве разработки, инцидент информационной безопасности или поиск утраченных данных, экспертиза начинается с сохранения целостности объектов и заканчивается заключением, которое выдерживает проверку на достоверность.

Стоимость наших исследований начинается от 20 000 рублей. Если требуется выезд эксперта на место осмотра, эта услуга оплачивается дополнительно. В случаях, когда дело доходит до суда, representation интересов осуществляется нашими юристами, которые специализируются на сложных категориях споров. Обращение в Союз «Федерация судебных экспертов» означает выбор в пользу организации, где техническая глубина сочетается с пониманием процессуальных норм, а результаты работы формулируются языком, понятным суду и сторонам конфликта.