Введение

Настоящая работа посвящена комплексному анализу экспертизы программного обеспечения как самостоятельного направления судебной и досудебной экспертной деятельности. В условиях, когда программный код становится не только средством производства, но и объектом права, источником конфликтов и инструментом правонарушений, потребность в квалифицированном исследовании программных продуктов приобретает критическое значение. Экспертиза программного обеспечения выходит за рамки простой проверки работоспособности; она включает установление фактов неправомерного доступа, выявление вредоносных функций, оценку качества разработки, а также поиск и восстановление цифровых следов, имеющих доказательственное значение.

Союз «Федерация судебных экспертов» на протяжении более двух десятилетий занимает позицию одного из ведущих экспертных учреждений, специализирующихся на исследовании компьютерной информации и программных продуктов. Настоящая работа обобщает методологические подходы, применяемые в практике Союза, и демонстрирует, каким образом экспертиза программного обеспечения позволяет разрешать сложные технические и правовые вопросы. В работе намеренно опущены аспекты, связанные с потребительской экспертизой аппаратного обеспечения, поскольку фокус исследования сосредоточен на программной составляющей: хакерских атаках, взломе, шпионском программном обеспечении, качестве услуг разработчиков, а также на поиске и восстановлении данных.

Раздел 1. Предмет и объекты экспертизы программного обеспечения

Экспертиза программного обеспечения представляет собой исследование, направленное на установление фактических данных о свойствах, функциональном предназначении, качестве и происхождении программных продуктов, а также о следах их использования в цифровой среде. Объектами данного вида экспертизы выступают системное программное обеспечение, включая операционные системы; вспомогательные утилиты; средства разработки и отладки; служебная системная информация; прикладное программное обеспечение общего и специального назначения . В отличие от аппаратной экспертизы, предметом которой являются физические компоненты вычислительных устройств, экспертиза программного обеспечения сосредоточена на нематериальных, но объективно фиксируемых артефактах: коде, конфигурациях, журналах событий, цифровых подписях и следах выполнения.

Ключевая особенность данного направления состоит в том, что программный продукт может быть исследован как в состоянии поставки (дистрибутив), так и в состоянии эксплуатации (установленная копия с сопутствующими изменениями). Эксперт должен различать исходное состояние программного средства и его модификации, возникшие в результате обновлений, действий пользователя или целенаправленного вмешательства. Установление факта модификации, направленной на преодоление защиты или внедрение враждебных функций, составляет содержание значительной части исследований, проводимых в рамках судебных разбирательств.

Экспертиза программного обеспечения в Москве и других регионах осуществляется Союзом «Федерация судебных экспертов» как в процессуальной форме, по определению суда или постановлению следователя, так и в досудебном порядке, по инициативе заинтересованной стороны. Досудебное заключение не обладает статусом судебной экспертизы, однако при должной обоснованности и полноте воспринимается судом наравне с иными письменными доказательствами . Практика показывает, что своевременное обращение к независимой экспертизе программного обеспечения позволяет стороне спора сформулировать позицию, подготовить ходатайство о назначении судебной экспертизы и избежать процессуальных ошибок, связанных с неверной постановкой вопросов.

Раздел 2. Взлом и неправомерный доступ: экспертные задачи

Установление факта взлома программной системы является одной из наиболее востребованных задач, решаемых в рамках экспертизы программного обеспечения. Под взломом в экспертной практике понимается несанкционированное преодоление средств защиты информации, повлекшее получение доступа к программным компонентам, данным или функциям, которые не были предназначены для данного пользователя. Экспертное исследование направлено на выявление следов такого преодоления, идентификацию способа проникновения и, где это возможно, установление временных рамок и последовательности действий нарушителя.

Типовыми вопросами, разрешаемыми при исследовании взлома, являются следующие: имеются ли на носителе информации признаки несанкционированного доступа к программной среде; какие учетные записи использовались для входа в систему в период, предшествовавший инциденту; подвергались ли изменению файлы конфигурации средств защиты; содержатся ли в журналах регистрации события, характерные для попыток подбора паролей или эксплуатации уязвимостей . Ответы на эти вопросы требуют анализа системных журналов, сопоставления временных меток, исследования целостности исполняемых файлов и проверки цифровых подписей.

Отдельного внимания заслуживает исследование следов взлома веб-приложений и баз данных. В практике Союза встречаются случаи, когда проникновение в административную панель сайта осуществлялось через уязвимость в стороннем модуле, не обновленном разработчиком. Экспертиза программного обеспечения в таких ситуациях позволяет разграничить ответственность между владельцем ресурса, не установившим обновление безопасности, и разработчиком, допустившим наличие уязвимости в поставляемом коде. Установление причинно-следственной связи между дефектом программного обеспечения и наступившими последствиями требует не только технического анализа, но и понимания архитектуры приложения в целом.

Раздел 3. Шпионское программное обеспечение и враждебные функции

Выявление шпионского программного обеспечения и враждебных функций относится к числу наиболее сложных видов экспертизы программного обеспечения. Враждебные функции определяются как фрагменты кода, которые влекут уничтожение, блокирование, модификацию либо копирование информации, нарушение работы вычислительной системы или ее компонентов . Шпионское программное обеспечение представляет собой частный случай враждебной функциональности, ориентированный на скрытый сбор информации: нажатий клавиш, снимков экрана, учетных данных, содержимого переписки или местоположения устройства.

Экспертное исследование шпионского программного обеспечения включает несколько этапов. Первоначально производится поиск признаков скрытого присутствия: несоответствие перечня запущенных процессов списку установленных программ, наличие автозапуска из нетипичных мест файловой системы, аномальная сетевая активность в периоды, когда пользователь не инициировал обмен данными. Затем осуществляется статический и динамический анализ обнаруженных исполняемых файлов. Статический анализ предполагает исследование кода без его запуска, тогда как динамический анализ выполняется в изолированной среде с фиксацией поведения программы: обращений к файлам, реестру, сетевым ресурсам.

В практике Союза «Федерация судебных экспертов» встречались дела, в которых шпионское программное обеспечение распространялось под видом легитимной утилиты для оптимизации системы. Экспертиза программного обеспечения позволила установить, что заявленная функциональность составляла незначительную часть кода, тогда как основная активность была направлена на перехват буфера обмена и передачу данных на внешний сервер. Заключение эксперта послужило основанием для квалификации действий распространителя как неправомерного доступа к компьютерной информации. Существенно, что выводы формулировались не в юридических, а в технических терминах: эксперт описывал поведение программы, оставляя правовую оценку за судом.

Раздел 4. Качество услуг разработчиков: соответствие техническому заданию

Споры о качестве программного обеспечения, разработанного по заказу, составляют значительный сегмент экспертной практики. Заказчик утверждает, что продукт не соответствует техническому заданию; разработчик возражает, ссылаясь на неполноту или противоречивость требований. Разрешение такого спора без специальных познаний невозможно, поскольку требует последовательного сопоставления каждого пункта технического задания с фактическим состоянием программного продукта.

Экспертиза программного обеспечения в данном контексте решает следующие вопросы: содержит ли программный комплекс все функции и модули, перечисленные в акте сдачи-приемки; соответствует ли фактическая функциональность требованиям технического задания; какие именно функции не реализованы или реализованы с отклонениями; являются ли выявленные недостатки существенными и препятствуют ли они использованию продукта по назначению . Методика, применяемая экспертами Союза, основана на покомпонентной проверке: каждое требование технического задания фиксируется в протоколе, проверяется опытным путем, и результат заносится в сводную таблицу соответствия.

Особую сложность представляют случаи, когда внешние признаки реализации функции присутствуют, но фактическое поведение системы не соответствует заявленному. В одном из кейсов, описанных в практике, заказчик обнаружил, что функция фильтрации клиентской базы в банковском программном обеспечении не работает, хотя интерфейсные элементы для нее присутствовали. Экспертиза программного обеспечения показала, что логика фильтрации не была реализована на уровне серверной части, а элементы интерфейса были добавлены без соответствующего функционального обеспечения . Суд признал требования заказчика обоснованными. Данный пример иллюстрирует принципиальное положение: экспертиза программного обеспечения не может ограничиваться визуальным осмотром интерфейса; она требует проверки фактического поведения системы.

Раздел 5. Веб-сайты и базы данных как объекты экспертного исследования

Веб-сайты и информационные базы данных представляют собой сложные программные комплексы, экспертиза которых требует познаний как в области веб-технологий, так и в предметной области, к которой относится содержание базы. Типичным объектом исследования являются информационные базы на платформе «1С:Предприятие», используемые для бухгалтерского и управленческого учета. Споры, связанные с несанкционированными изменениями финансовых данных, требуют установления не только технических обстоятельств модификации, но и понимания учетных процессов, в контексте которых эти изменения приобретают юридическое значение.

Экспертиза программного обеспечения применительно к базам данных решает вопросы о том, какие изменения были внесены в информационную базу, в какой период времени и с какой учетной записи пользователя; соответствуют ли эти изменения обычной практике ведения учета в данной организации; имеются ли признаки целенаправленного искажения информации . Методически исследование начинается с создания побитовой копии информационной базы и фиксации ее хэш-суммы, что обеспечивает неизменность объекта на протяжении всей экспертизы. Затем анализируются журнал регистрации, история изменений объектов метаданных и данные о сеансах пользователей. Выявленные аномалии сопоставляются с первичными документами и должностными обязанностями сотрудников.

В отношении веб-сайтов экспертиза программного обеспечения направлена на установление соответствия реализованного функционала требованиям технического задания, выявление уязвимостей, оценку качества кода и определение причин сбоев. Отдельным направлением является исследование фактов заимствования кода, что требует применения методов сравнения исходных текстов и распознавания признаков обфускации — целенаправленного запутывания кода с целью сокрытия заимствования . Эксперт должен различать обфускацию, являющуюся обычной практикой защиты коммерческого кода, и обфускацию, предпринятую для сокрытия неправомерного использования чужого программного продукта.

Раздел 6. Поиск и восстановление данных в экспертных исследованиях

Поиск и восстановление данных составляют самостоятельное направление экспертизы программного обеспечения, тесно связанное с цифровой криминалистикой. Восстановление удаленных файлов основано на том обстоятельстве, что операционные системы, как правило, не стирают информацию физически сразу после удаления; занимаемое файлом пространство помечается как свободное, но сохраняет содержимое до перезаписи . Чем меньше времени прошло с момента удаления и чем менее интенсивно использовался носитель, тем выше вероятность полного восстановления.

Экспертиза программного обеспечения в части восстановления данных включает поиск файлов по сигнатурам, анализ свободных кластеров, обход файловой системы для извлечения фрагментированных данных, а также работу с зашифрованными и поврежденными носителями. В случае шифрования возможность доступа зависит от алгоритма, длины ключа и наличия у эксперта необходимых средств; при наличии паролей или ключей восстановление существенно упрощается . Поврежденные носители требуют особого подхода: логические повреждения устраняются программными методами, физические повреждения жестких дисков предполагают работу в условиях, исключающих дальнейшее загрязнение внутренних компонентов.

Принципиальным требованием, соблюдение которого обеспечивает доказательственное значение результатов, является работа исключительно с копией носителя. Оригинал изымается, упаковывается и сохраняется в неизменном виде; все дальнейшие действия производятся с посекторным образом, целостность которого подтверждается хэш-суммой . Нарушение этого правила ставит под сомнение допустимость заключения, поскольку не позволяет исключить изменение исходных данных в ходе исследования.

Раздел 7. Методологические принципы экспертизы программного обеспечения

Методология экспертизы программного обеспечения опирается на несколько базовых принципов, соблюдение которых отличает экспертное исследование от технического аудита или консультации. Первый принцип — объективность: эксперт не принимает сторону спорящих, его выводы основаны исключительно на результатах исследования и не зависят от интересов заказчика. Второй принцип — воспроизводимость: методика и последовательность действий эксперта должны быть описаны с достаточной полнотой, чтобы другое квалифицированное лицо могло повторить исследование и получить те же результаты. Третий принцип — верифицируемость: каждый вывод должен опираться на зафиксированные в протоколе наблюдения, а не на предположения или общие соображения.

Экспертиза программного обеспечения в Москве, проводимая Союзом «Федерация судебных экспертов», строится на сочетании статических и динамических методов. Статические методы позволяют исследовать код без его исполнения: дизассемблирование, декомпиляция, анализ строк и сигнатур. Динамические методы предполагают запуск программы в контролируемой среде с фиксацией ее поведения: обращений к файловой системе, реестру, сети, а также взаимодействия с другими процессами. Выбор метода определяется характером поставленных вопросов; в большинстве случаев оптимальным является сочетание обоих подходов.

Отдельного упоминания заслуживает вопрос о формулировке вопросов, ставящихся перед экспертом. Некорректно поставленный вопрос может сделать исследование невозможным или привести к выводу, не имеющему доказательственного значения. Вопросы должны быть сформулированы в технических терминах, допускать проверяемый ответ и не требовать правовой квалификации. Например, вопрос «имеются ли в программном средстве враждебные функции» является корректным, тогда как вопрос «является ли программа вирусом» содержит правовую и оценочную нагрузку и требует уточнения. Союз «Федерация судебных экспертов» практикует предварительное консультирование по формулировке вопросов, что позволяет избежать процессуальных потерь.

Раздел 8. Кейс 1: Выявление шпионского модуля в программном обеспечении для видеонаблюдения

В производстве Союза находилось дело, связанное с корпоративным конфликтом в организации, занимающейся логистикой. Служба безопасности обратила внимание на аномальную сетевую активность в ночное время, исходящую от рабочей станции одного из сотрудников. Первоначальная проверка, проведенная штатным системным администратором, не выявила явных признаков компрометации. Для установления обстоятельств была назначена экспертиза программного обеспечения, производство которой поручено экспертам Союза.

Объектом исследования являлся системный блок рабочей станции, изъятый в выключенном состоянии с соблюдением требований к обращению с электронными носителями. Экспертом была создана посекторная копия жесткого диска, целостность которой подтверждена хэш-суммой. Дальнейшая работа велась исключительно с копией, оригинал носителя сохранялся в опечатанном виде.

Первичный анализ автозапуска не выявил подозрительных записей в реестре или папках автозагрузки. Однако при исследовании списка служб операционной системы был обнаружен компонент с нейтральным названием, маскирующимся под системную утилиту обновления. Файл, соответствующий данной службе, располагался в директории, нетипичной для легитимных системных компонентов, и не имел действительной цифровой подписи разработчика. Статический анализ исполняемого файла показал наличие кода, осуществляющего перехват нажатий клавиатуры и периодическую передачу полученных данных по протоколу HTTPS на внешний IP-адрес.

Для подтверждения функциональности обнаруженного компонента была развернута изолированная виртуальная среда, в которую помещена копия операционной системы с исследуемым файлом. Динамический анализ зафиксировал сетевые соединения, инициируемые программой, и содержимое передаваемых пакетов. Было установлено, что передача данных осуществлялась с периодичностью, заданной конфигурационным файлом, также расположенным в нетипичной директории. Анализ конфигурации выявил адрес управляющего сервера и идентификатор, предположительно соответствующий учетной записи сотрудника.

Сопоставление временных меток файлов и записей в системных журналах позволило установить период, в течение которого шпионский модуль функционировал на рабочей станции. Экспертиза программного обеспечения в данном кейсе завершилась выводом о наличии в составе программной среды рабочей станции компонента, обладающего враждебными функциями, направленными на скрытый сбор и передачу информации. Заключение было использовано в рамках служебного расследования; правовая квалификация действий лица, установившего модуль, осталась за пределами компетенции эксперта.

Раздел 9. Кейс 2: Спор о соответствии программного продукта техническому заданию

Между заказчиком — региональным оператором связи — и разработчиком возник спор относительно качества программного обеспечения для биллинга абонентов. Заказчик утверждал, что переданный продукт не реализует ряд функций, предусмотренных техническим заданием, в частности, автоматическое формирование детализированных счетов и интеграцию с системой электронного документооборота. Разработчик настаивал на том, что все обязательства выполнены, а претензии связаны с неверной эксплуатацией. Суд назначил экспертизу программного обеспечения, производство которой поручено экспертам Союза «Федерация судебных экспертов».

Перед экспертом были поставлены вопросы о соответствии фактической функциональности программного комплекса требованиям технического задания и о существенности выявленных недостатков. Эксперт начал с изучения технического задания и акта сдачи-приемки, выделив перечень функций, подлежащих проверке. Каждая функция была проверена опытным путем на тестовом стенде, развернутом в соответствии с эксплуатационной документацией.

Проверка функции формирования детализированных счетов показала, что система создает счета, однако их структура не соответствует формату, описанному в техническом задании: отсутствует раздел с детализацией по услугам, а суммы представлены в агрегированном виде. Проверка интеграции с системой электронного документооборота выявила, что программный комплекс формирует файлы, но не осуществляет их автоматическую передачу в систему документооборота, как это предусмотрено требованием. Вместо автоматической передачи оператору предлагается вручную выгрузить файл и загрузить его в принимающую систему.

Эксперт зафиксировал выявленные отклонения в протоколе и оценил их существенность. Для функции формирования счетов отклонение было признано существенным, поскольку заказчик использовал детализированные счета для расчетов с корпоративными клиентами, и отсутствие детализации делало продукт непригодным для этой цели. Для интеграции с документооборотом отклонение также оценено как существенное, поскольку требование носило обязательный характер и было прямо поименовано в техническом задании.

Экспертиза программного обеспечения в данном кейсе завершилась выводом о частичном несоответствии программного продукта требованиям технического задания, причем выявленные несоответствия носят существенный характер и препятствуют использованию продукта по назначению в части, касающейся расчетов с корпоративными клиентами и электронного документооборота. Суд, опираясь на заключение, удовлетворил требования заказчика о соразмерном уменьшении цены договора.

Раздел 10. Кейс 3: Исследование факта заимствования исходного кода

Спор между двумя разработчиками программного обеспечения для управления складскими запасами был связан с утверждением истца о том, что ответчик использовал фрагменты исходного кода, созданного истцом. Ответчик отрицал заимствование, утверждая, что сходство обусловлено общими алгоритмическими решениями, типичными для данного класса задач. Для разрешения спора назначена экспертиза программного обеспечения.

Перед экспертом были поставлены вопросы о наличии в исходном коде ответчика фрагментов, тождественных или сходных до степени смешения с кодом истца, и о возможности независимого создания таких фрагментов. Эксперту были предоставлены исходные тексты обоих продуктов, а также сведения о датах создания файлов и использованных средах разработки.

Исследование началось с нормализации кода: удаления комментариев, приведения отступов и имен идентификаторов к единому виду, что позволило устранить косметические различия и сосредоточиться на структурном сходстве. Затем был применен метод сравнения по сигнатурам, выявляющий совпадения последовательностей операторов и структур управления. Результаты показали наличие нескольких фрагментов, совпадение которых не могло быть объяснено общностью алгоритма.

Особое внимание эксперт уделил фрагменту, реализующему нестандартный алгоритм округления при расчете складских остатков. Данный алгоритм не являлся типовым и содержал характерную ошибку, присутствовавшую в коде истца. Совпадение нестандартного алгоритма вместе с идентичной ошибкой было оценено как свидетельство заимствования, поскольку вероятность независимого воспроизведения такой комбинации крайне мала.

При исследовании кода ответчика эксперт обнаружил признаки обфускации: имена переменных были заменены на бессмысленные последовательности символов, структура кода усложнена вставками неисполняемых ветвлений. Эксперт отметил, что обфускация могла быть применена как для защиты коммерческой тайны, так и для затруднения сравнения; в данном случае характер обфускации не соответствовал обычной практике защиты кода и был расценен как целенаправленное действие по сокрытию заимствования.

Экспертиза программного обеспечения завершилась выводом о наличии в продукте ответчика фрагментов, заимствованных из продукта истца, и о целенаправленном характере изменений, затрудняющих выявление заимствования. Заключение было положено в основу судебного решения о защите исключительных прав.

Раздел 11. Кейс 4: Восстановление удаленных данных в рамках корпоративного расследования

В организации, занимающейся оптовой торговлей, была обнаружена недостача, сопровождавшаяся исчезновением файлов с данными о поступлении товара за определенный период. Штатный администратор не смог восстановить информацию; более того, при попытке восстановления были предприняты действия, которые могли привести к перезаписи секторов, содержавших удаленные файлы. Для установления обстоятельств и восстановления данных была привлечена экспертиза программного обеспечения, проведенная Союзом.

Объектом исследования являлся жесткий диск сервера, с которого произошло удаление. Диск был изъят и передан эксперту без включения в работу после инцидента. Экспертом незамедлительно создана посекторная копия, и все дальнейшие действия производились с копией. Оригинал сохранен в неизменном состоянии.

Анализ файловой системы показал, что удаление было произведено с учетной записи, обладавшей административными правами, в нерабочее время. Журналы аудита, однако, были частично очищены, что затрудняло прямую идентификацию пользователя. Эксперт применил метод поиска по сигнатурам для извлечения удаленных файлов из свободного пространства. Были обнаружены фрагменты таблиц базы данных, содержащих записи о поступлении товара за интересующий период.

Восстановление записей позволило реконструировать данные о поступлениях, которые отсутствовали в текущей базе. Сопоставление восстановленных записей с первичными документами, предоставленными бухгалтерией, выявило расхождения, указывающие на целенаправленное искажение учетных данных перед удалением. Экспертиза программного обеспечения в данном кейсе не ограничилась техническим восстановлением файлов; эксперт проанализировал последовательность действий пользователя по временным меткам и журналам, что позволило восстановить хронологию событий.

Заключение эксперта содержало сведения о восстановленных данных, их содержании и временных характеристиках. На основании заключения служба безопасности организации провела внутреннее расследование, результаты которого были переданы в правоохранительные органы. Кейс демонстрирует, что своевременное изъятие носителя и отказ от самостоятельных попыток восстановления являются критически важными для сохранения доказательственной информации.

Раздел 12. Кейс 5: Экспертиза веб-приложения для государственных услуг

Разработчик передал заказчику — государственному учреждению — веб-портал для оказания услуг населению. Заказчик отказался от приемки, ссылаясь на критические дефекты, препятствующие эксплуатации: периодические отказы при подаче заявлений, некорректное отображение статусов, уязвимость, позволявшую получить доступ к чужим заявлениям. Разработчик настаивал на том, что дефекты не являются критическими и могут быть устранены в рамках гарантийного обслуживания. Спор передан на разрешение суда, которым назначена экспертиза программного обеспечения.

Эксперт исследовал веб-приложение в среде, имитирующей продуктивную конфигурацию, с использованием тестовых учетных записей и сценариев, предоставленных заказчиком. Проверка функциональности подачи заявлений выявила, что при одновременной подаче более определенного числа заявлений система перестает отвечать на запросы в течение времени, превышающего допустимое. Анализ кода и конфигурации серверной части показал отсутствие механизмов ограничения нагрузки и неоптимальные запросы к базе данных, что приводило к исчерпанию пула соединений.

Исследование механизма отображения статусов выявило, что статус заявления обновляется с задержкой, обусловленной асинхронной обработкой, однако интерфейс не информирует пользователя о промежуточном состоянии, что создает ложное впечатление отказа системы. Данный дефект был квалифицирован как существенный с точки зрения пользовательского опыта, хотя и не являющийся критическим с технической точки зрения.

Наиболее серьезным выводом стало подтверждение уязвимости, позволявшей получить доступ к заявлениям других пользователей путем манипуляции параметром в запросе. Эксперт воспроизвел атаку в тестовой среде и зафиксировал, что при определенном сочетании параметров система возвращает данные, не принадлежащие текущему пользователю. Уязвимость была классифицирована как критическая, поскольку нарушала конфиденциальность персональных данных и противоречила требованиям, предъявляемым к государственным информационным системам.

Экспертиза программного обеспечения завершилась выводом о наличии критических дефектов, препятствующих приемке веб-приложения в представленном виде. Суд согласился с заключением и обязал разработчика устранить выявленные недостатки в установленный срок. Кейс иллюстрирует, что экспертиза программного обеспечения веб-приложений требует не только статического анализа кода, но и функционального тестирования, воспроизводящего реальные сценарии эксплуатации.

Раздел 13. Кейс 6: Установление факта неправомерного использования программного обеспечения

Правообладатель программного обеспечения для проектирования обратился с иском к организации, использующей, по его утверждению, нелицензионную копию продукта. Ответчик утверждал, что использует свободно распространяемый аналог. Для разграничения продуктов была назначена экспертиза программного обеспечения.

Эксперт исследовал установленное на компьютерах ответчика программное обеспечение на предмет идентификации. Проверка исполняемых файлов, библиотек и конфигурационных файлов выявила совпадение контрольных сумм и структурных характеристик с дистрибутивом истца. Характерные строковые константы, включая сообщения об ошибках и пути к ресурсам, совпадали с таковыми в продукте истца. Свободно распространяемый аналог, на который ссылался ответчик, имел иную архитектуру и не содержал обнаруженных элементов.

Эксперт также проанализировал журналы использования и следы активации. Были обнаружены записи, свидетельствующие о применении методов обхода лицензионной защиты: модификация файлов лицензий, использование генераторов ключей, блокировка обращений к серверу активации. Экспертиза программного обеспечения позволила установить не только факт использования продукта истца, но и признаки целенаправленного преодоления технических средств защиты.

Вывод эксперта содержал идентификацию программного обеспечения как продукта истца и указание на отсутствие действительной лицензии. Заключение было использовано судом для взыскания компенсации за нарушение исключительных прав.

Раздел 14. Кейс 7: Анализ вредоносного вложения в электронном письме

Организация получила электронное письмо, вложение к которому при открытии инициировало подозрительную активность. Служба безопасности изолировала компьютер и передала файл на экспертизу программного обеспечения. Требовалось установить, является ли вложение вредоносным и какова его функциональность.

Эксперт начал с проверки типа файла, который был замаскирован под документ офисного формата. Анализ структуры выявил наличие встроенного макроса, автоматически исполняемого при открытии. Статический анализ макроса показал последовательность операций: загрузка исполняемого файла с внешнего ресурса, сохранение его в системной директории, создание записи автозапуска, запуск загруженного файла. Для подтверждения поведения макроса была развернута изолированная среда, в которой произведено открытие документа с фиксацией сетевой активности и изменений файловой системы.

Динамический анализ подтвердил, что макрос осуществляет загрузку и исполнение полезной нагрузки. Загруженный файл обладал функциональностью, характерной для программ удаленного управления: установление соединения с управляющим сервером, прием команд, выполнение операций с файлами и передача результатов. Экспертиза программного обеспечения квалифицировала вложение как вредоносное, обладающее враждебными функциями, направленными на несанкционированный доступ и контроль над системой.

Эксперт также установил, что управляющий сервер, к которому обращался вредоносный код, располагался за пределами юрисдикции Российской Федерации, что затрудняло оперативное реагирование. Заключение было использовано для информирования правоохранительных органов и для обоснования мер по блокировке соответствующих адресов на уровне сетевой инфраструктуры организации.

Раздел 15. Кейс 8: Спор о качестве мобильного приложения

Заказчик — сеть розничных магазинов — заказал разработку мобильного приложения для программы лояльности. После выпуска приложения пользователи начали сообщать о сбоях при авторизации и некорректном начислении баллов. Заказчик счел качество работы неудовлетворительным и обратился за экспертизой программного обеспечения.

Эксперт исследовал приложение на тестовых устройствах с различными версиями операционной системы. Проверка авторизации выявила, что при определенных условиях (слабый сигнал сети, переключение между Wi-Fi и мобильным интернетом) приложение не корректно обрабатывает таймауты и переходит в состояние, из которого не выходит без перезапуска. Анализ кода показал отсутствие обработки исключений для сетевых операций, что приводило к зависанию.

Проверка начисления баллов выявила расхождение между локальным кэшем приложения и серверными данными. При отсутствии синхронизации пользователь видел один баланс, а на сервере хранился другой. При последующей синхронизации баланс перезаписывался серверным значением, что воспринималось пользователями как исчезновение баллов. Эксперт квалифицировал дефект как существенный, поскольку он затрагивал ключевую функцию приложения и подрывал доверие пользователей к программе лояльности.

Экспертиза программного обеспечения завершилась выводом о наличии дефектов, препятствующих нормальной эксплуатации приложения. Суд обязал разработчика устранить недостатки и произвести соразмерное уменьшение цены договора.

Раздел 16. Кейс 9: Исследование базы данных на предмет несанкционированных изменений

В организации, ведущей учет договоров, были обнаружены изменения в базе данных, приведшие к искажению сведений о сроках действия договоров. Служба безопасности инициировала экспертизу программного обеспечения для установления обстоятельств модификации.

Эксперт создал побитовую копию базы и приступил к анализу журналов. Штатные средства аудита базы данных не фиксировали изменений за пределами рабочего времени, однако эксперт обратил внимание на несоответствие между записями в журнале и фактическим состоянием таблиц. Дальнейшее исследование выявило, что изменения были внесены не через штатный интерфейс приложения, а путем прямого подключения к базе данных с использованием учетной записи, обладавшей избыточными правами.

Анализ сетевых журналов и журналов операционной системы позволил установить время подключения и IP-адрес, с которого оно было произведено. Сопоставление с данными о сеансах пользователей показало, что подключение произведено с компьютера, закрепленного за сотрудником, находившимся в тот момент в отпуске. Экспертиза программного обеспечения также выявила, что пароль учетной записи не был изменен после увольнения предыдущего администратора, что создавало возможность несанкционированного доступа.

Заключение эксперта содержало хронологию изменений, указание на способ модификации и идентификацию учетной записи, использованной для доступа. Материалы переданы в правоохранительные органы для проведения проверки.

Раздел 17. Кейс 10: Экспертиза программного обеспечения как этап досудебного урегулирования

В заключительном кейсе рассматривается ситуация, в которой экспертиза программного обеспечения была проведена до обращения в суд и позволила сторонам урегулировать спор без судебного разбирательства. Компания-заказчик обнаружила, что поставленная ей система электронного документооборота не интегрируется с используемой системой бухгалтерского учета, несмотря на заверения разработчика. Переговоры зашли в тупик, и заказчик обратился в Союз «Федерация судебных экспертов» для проведения независимой экспертизы программного обеспечения в досудебном порядке.

Эксперт исследовал систему документооборота и ее взаимодействие с бухгалтерской системой. Было установлено, что интеграция реализована через промежуточный модуль, который, однако, не был поставлен заказчику и не упоминался в документации. Разработчик утверждал, что модуль является отдельным продуктом и не входит в предмет договора. Эксперт проанализировал договор и техническое задание: требование интеграции было прямо поименовано, а какие-либо оговорки об отдельной поставке модуля отсутствовали.

Заключение эксперта, содержавшее вывод о несоответствии поставленной системы требованиям договора, было направлено разработчику. Ознакомившись с выводами, разработчик согласился передать промежуточный модуль и завершить интеграцию в согласованные сроки. Судебное разбирательство не потребовалось. Данный кейс демонстрирует ценность досудебной экспертизы программного обеспечения как инструмента, позволяющего сторонам оценить обоснованность своих позиций и принять решение о дальнейших действиях на основе объективной технической информации.

Раздел 18. Организационные и процессуальные аспекты обращения в Союз

Союз «Федерация судебных экспертов» приглашает к сотрудничеству лиц, нуждающихся в квалифицированном исследовании программного обеспечения. Стоимость экспертизы начинается от 20 000 рублей и определяется сложностью объекта, объемом исследуемых данных и характером поставленных вопросов. Выезд эксперта на место осмотра оплачивается дополнительно; необходимость выезда определяется характером объекта и условиями его хранения.

В случаях, когда спор передан на рассмотрение суда, Союз обеспечивает не только экспертное сопровождение, но и юридическую поддержку. Юридические услуги в суде осуществляются юристами Союза, специализирующимися на делах, связанных с информационными технологиями и защитой цифровых прав. Эксперты и юристы работают в тесном взаимодействии, что позволяет выстраивать позицию, опирающуюся на прочную техническую основу и корректную процессуальную форму.

Обращение в Союз начинается с консультации, в ходе которой определяется предмет исследования, формулируются вопросы и оценивается feasibility их разрешения. Практика показывает, что предварительная проработка вопросов позволяет избежать назначения экспертизы, выводы которой не будут иметь доказательственного значения из-за методологической некорректности постановки задачи. Союз заинтересован в том, чтобы каждая проведенная экспертиза программного обеспечения отвечала стандартам объективности, воспроизводимости и верифицируемости, независимо от того, проводится ли она в судебном или досудебном порядке.

Заключение

Экспертиза программного обеспечения представляет собой динамично развивающееся направление экспертной деятельности, востребованность которого определяется повсеместной цифровизацией и связанным с ней ростом числа споров, правонарушений и инцидентов, имеющих программную природу. Настоящая работа показала, что предмет данного вида экспертизы охватывает широкий спектр задач: от выявления следов взлома и шпионского программного обеспечения до оценки качества разработки, восстановления данных и установления фактов заимствования кода.

Методологическая база экспертизы программного обеспечения сочетает статические и динамические методы исследования, применение которых подчинено принципам объективности, воспроизводимости и верифицируемости. Практика Союза «Федерация судебных экспертов», проиллюстрированная десятью кейсами, демонстрирует, что квалифицированно проведенное исследование позволяет разрешать сложные технические вопросы, служить надежной основой для судебных решений и способствовать досудебному урегулированию споров.

Перспективы развития данного направления связаны с усложнением программных систем, распространением облачных технологий и увеличением объема данных, подлежащих анализу. В этих условиях значение экспертизы программного обеспечения как инструмента установления истины в цифровой среде будет возрастать, а требования к квалификации экспертов — повышаться. Союз «Федерация судебных экспертов» рассматривает свою деятельность в этой сфере как вклад в формирование культуры доказательной работы с цифровыми артефактами, без которой невозможно эффективное функционирование правовой системы в условиях информационного общества.