Введение

Современный мир трудно представить без компьютерных технологий. Цифровые устройства, программное обеспечение, базы данных и интернет-ресурсы стали неотъемлемой частью жизни человека, бизнеса и государства. Вместе с тем стремительное развитие информационных технологий породило и новые вызовы, связанные с безопасностью цифровой среды. Хакерские атаки, взлом систем, распространение шпионского программного обеспечения, кража и уничтожение данных — эти явления перестали быть уделом фантастов и превратились в повседневную реальность. В таких условиях особую значимость приобретает компьютерная экспертиза как инструмент установления истины в ситуациях, где цифровые следы играют решающую роль.

Настоящая работа посвящена исследованию теоретических и практических аспектов компьютерной экспертизы в контексте противодействия киберпреступлениям, анализа качества программных продуктов и восстановления цифровой информации. В отличие от традиционных подходов, акцент здесь делается не на потребительские споры о причинах поломки компьютерной техники, а на вопросы, связанные с несанкционированным доступом, вредоносным кодом, экспертизой качества разработки программного обеспечения, сайтов и баз данных, а также поиском и восстановлением утраченных данных.

Актуальность темы обусловлена тем, что количество компьютерных инцидентов неуклонно растёт, а методы, используемые злоумышленниками, становятся всё более изощрёнными. По данным исследований, злоумышленники всё чаще переходят к сложным целевым атакам, применяют бесфайловые методы и техники анти-форензики, направленные на уничтожение статических следов присутствия в системе . В этих условиях традиционные подходы к компьютерно-технической экспертизе требуют переосмысления и адаптации к новым реалиям.

Союз «Федерация судебных экспертов» приглашает к сотрудничеству всех, кто столкнулся с необходимостью проведения компьютерной экспертизы. Наши специалисты обладают глубокими знаниями в области цифровой криминалистики, анализа вредоносного кода, восстановления данных и оценки качества программных продуктов. Стоимость экспертизы начинается от 20 000 рублей, выезд на место экспертного осмотра оплачивается дополнительно. В случаях, когда требуется представление интересов в суде, наши юристы обеспечивают серьёзное сопровождение таких категорий дел.

В первом разделе настоящей работы рассматриваются теоретические основы компьютерной экспертизы применительно к исследованию следов хакерских атак и вредоносного программного обеспечения. Второй раздел посвящён экспертизе качества разработки программных продуктов, сайтов и баз данных. Третий раздел раскрывает вопросы поиска и восстановления данных. Четвёртый раздел содержит анализ практических кейсов, иллюстрирующих применение компьютерной экспертизы в различных ситуациях. Каждый из разделов сопровождается примерами из экспертной практики и описанием методических подходов, используемых специалистами Союза «Федерация судебных экспертов».

Раздел 1. Компьютерная экспертиза следов хакерских атак и вредоносного программного обеспечения

Хакерские атаки и распространение вредоносного программного обеспечения представляют собой одну из наиболее серьёзных угроз цифровой безопасности. В отличие от многих других видов компьютерных инцидентов, здесь речь идёт о целенаправленном воздействии на информационные системы с целью получения несанкционированного доступа, хищения данных, нарушения正常工作 инфраструктуры или причинения иного ущерба. Компьютерная экспертиза в этой сфере направлена на установление факта атаки, определение способа проникновения в систему, идентификацию вредоносного кода и, по возможности, установление лиц, причастных к совершению противоправных действий.

Следует подчеркнуть, что компьютерная экспертиза следов хакерских атак существенно отличается от экспертизы потребительских свойств компьютерной техники. Если в последнем случае исследование касается вопросов качества устройства, причин его поломки или соответствия заявленным характеристикам, то в рамках рассматриваемого направления эксперт имеет дело с цифровыми следами, оставленными злоумышленником. Эти следы могут быть обнаружены в системных журналах, оперативной памяти, на жёстких дисках, в сетевом трафике и иных источниках. Задача эксперта состоит в том, чтобы собрать эти следы воедино, восстановить хронологию событий и представить суду или следствию объективную картину произошедшего.

Одним из ключевых понятий в данной области является компьютерный инцидент. Под ним понимается любое событие, связанное с нарушением политики безопасности или негативно влияющее на информационную систему. Компьютерная экспертиза призвана дать ответ на вопросы о том, имел ли место инцидент, каковы его причины и последствия, кто мог быть к нему причастен. При этом эксперту приходится работать в условиях, когда злоумышленник активно противодействует расследованию, используя методы сокрытия следов, обфускации кода, шифрования данных и иные техники анти-форензики .

В практике Союза «Федерация судебных экспертов» компьютерная экспертиза по делам, связанным с хакерскими атаками, обычно включает несколько взаимосвязанных этапов. Первый этап — фиксация доказательств. На этом этапе создаётся полная посекторная копия носителя информации, что гарантирует сохранность оригинала и позволяет проводить многократный анализ без риска повреждения исходных данных . Все дальнейшие действия эксперта осуществляются исключительно с копией, что является важнейшим условием допустимости заключения в качестве доказательства.

Второй этап — восстановление удалённой информации. Злоумышленники часто удаляют файлы, журналы и иные свидетельства своей активности. Однако, как показывает практика, операционные системы не стирают информацию физически сразу после удаления. Файлы помечаются как свободное пространство, и до тех пор, пока это пространство не будет перезаписано, существует вероятность восстановления данных . Эксперты используют специализированное программное обеспечение и аппаратно-программные комплексы, позволяющие извлекать такие «удалённые» данные и анализировать их.

Третий этап — поиск индикаторов компрометации. Индикаторы компрометации представляют собой артефакты, указывающие на присутствие вредоносного программного обеспечения или несанкционированную активность в системе. К ним относятся записи в системном реестре, журналы событий, списки автозагрузки, следы в оперативной памяти, подозрительные сетевые соединения и многое другое. Современные средства анализа позволяют автоматизировать поиск базовых индикаторов, однако их интерпретация требует высокой квалификации эксперта.

Четвёртый этап — анализ подозрительных файлов. Если в ходе исследования обнаруживаются исполняемые файлы, вызывающие подозрение, эксперт прибегает к методам обратной разработки. Обратная разработка подразумевает исследование программы с целью понять принцип её работы. Анализ может производиться статическими методами, при которых изучается код без запуска программы, и динамическими методами, при которых программа запускается в контролируемой среде, а её поведение отслеживается. Для этих целей применяются такие инструменты, как дизассемблеры, отладчики, песочницы и системы мониторинга поведения .

Пятый этап — построение хронологии событий. Восстановление последовательности действий злоумышленника имеет критическое значение для установления причинно-следственной связи между действиями нарушителя и наступившим ущербом. Эксперт анализирует временные метки файлов, записи в журналах, историю браузера и иные артефакты, чтобы воссоздать картину произошедшего. Эта работа требует скрупулёзности и внимания к деталям, поскольку даже незначительное на первый взгляд событие может оказаться ключевым звеном в цепочке доказательств.

Отдельного внимания заслуживает проблема так называемого «семантического разрыва» между технической сущностью инцидента и его юридической квалификацией. Технические данные дискретны: средства защиты фиксируют точечные события, такие как записи в логах, дампы памяти или отдельные сетевые пакеты. Юридические категории, напротив, абстрактны: уголовный закон оперирует понятиями «неправомерный доступ», «вредоносное воздействие» и т.п. Прямое сопоставление здесь невозможно. Наличие в логе записи об ошибке аутентификации не означает автоматически попытку взлома — это может быть ошибка пользователя. Задача эксперта состоит в том, чтобы преодолеть этот разрыв и представить технические факты в форме, пригодной для юридической оценки .

Компьютерная экспертиза в рассматриваемой сфере тесно соприкасается с вопросами квалификации деяний по статьям Уголовного кодекса, предусматривающим ответственность за неправомерный доступ к компьютерной информации, создание и распространение вредоносных программ, нарушение правил эксплуатации средств хранения и передачи информации. Экспертное заключение может иметь решающее значение для установления объективной стороны состава преступления, поскольку именно специалист способен выявить и документально зафиксировать следы противоправного воздействия на информационную систему.

Союз «Федерация судебных экспертов» располагает необходимыми ресурсами для проведения компьютерной экспертизы любой сложности. Наши эксперты имеют опыт работы с самыми различными операционными системами, файловыми системами и прикладным программным обеспечением. Мы понимаем, что в делах, связанных с хакерскими атаками, время играет против исследователя: чем позже начата экспертиза, тем меньше шансов обнаружить и сохранить цифровые доказательства. Поэтому мы рекомендуем обращаться за помощью незамедлительно после обнаружения признаков инцидента.

Стоимость компьютерной экспертизы в Союзе «Федерация судебных экспертов» начинается от 20 000 рублей. Выезд эксперта на место осмотра оплачивается дополнительно. Если дело доходит до суда, наши юристы готовы обеспечить представительство интересов клиента, используя результаты экспертизы для построения эффективной правовой позиции.

Раздел 2. Компьютерная экспертиза качества разработки программных продуктов, сайтов и баз данных

Качество программного обеспечения, веб-сайтов и баз данных является критически важным фактором, определяющим успешность бизнеса, безопасность информации и эффективность работы организаций. Однако далеко не всегда заказчик получает тот результат, на который рассчитывал. Недобросовестные разработчики могут передать заказчику продукт с существенными дефектами, скрытыми функциями, заимствованным кодом или иными недостатками, которые обнаруживаются лишь спустя время. В таких ситуациях на помощь приходит компьютерная экспертиза, позволяющая объективно оценить качество разработки и установить наличие или отсутствие нарушений со стороны исполнителя.

Компьютерная экспертиза качества программных продуктов представляет собой исследование, направленное на установление соответствия программного обеспечения условиям договора, техническому заданию, общепринятым стандартам и обычаям делового оборота. Эксперт анализирует исходный код, архитектуру приложения, документацию, результаты тестирования и иные материалы, чтобы дать ответ на вопросы о том, является ли продукт качественным, пригодным для использования по назначению, содержит ли он скрытые дефекты или заимствованные компоненты.

Одним из наиболее распространённых оснований для проведения такой экспертизы является спор между заказчиком и исполнителем по поводу объёма и качества выполненных работ. Заказчик может утверждать, что переданный ему программный продукт не функционирует должным образом, содержит ошибки, не соответствует заявленным требованиям. Исполнитель, в свою очередь, может настаивать на том, что работы выполнены в полном объёме и с надлежащим качеством. Разрешить этот спор способен только независимый эксперт, обладающий специальными познаниями в области программирования и анализа программного обеспечения.

В рамках компьютерной экспертизы качества программных продуктов исследуются различные аспекты. Функциональность продукта проверяется на соответствие техническому заданию: все ли заявленные функции реализованы, работают ли они корректно, обеспечивается ли заявленная производительность. Надёжность оценивается путём анализа кода на наличие потенциальных ошибок, уязвимостей и мест, где возможны сбои. Безопасность исследуется с точки зрения наличия уязвимостей, которые могут быть использованы злоумышленниками для несанкционированного доступа к данным или нарушения работы системы. Сопровождаемость продукта оценивается по качеству кода, наличию комментариев, структурированности и удобству внесения изменений.

Особое место занимает экспертиза на предмет заимствования кода. В практике разработки программного обеспечения нередки случаи, когда исполнитель использует фрагменты кода из открытых источников или из продуктов конкурентов без соблюдения лицензионных условий. Это может повлечь за собой не только юридические риски для заказчика, но и репутационные потери. Эксперт, владеющий методами анализа кода, способен выявить признаки заимствования и оценить его масштаб. При этом важно отметить, что не любое совпадение кода является нарушением: существуют типовые конструкции, библиотечные функции и общеизвестные алгоритмы, использование которых не может рассматриваться как неправомерное заимствование.

Экспертиза качества веб-сайтов имеет свою специфику. Сайт представляет собой сложный программный комплекс, включающий серверную часть, клиентскую часть, базу данных, системы управления контентом и множество других компонентов. Компьютерная экспертиза сайта может быть направлена на оценку его работоспособности, производительности, защищённости от взлома, соответствия требованиям поисковых систем и законодательства. В случаях, когда сайт был разработан по заказу, экспертиза позволяет установить, соответствует ли он условиям договора и техническому заданию.

Отдельным направлением является экспертиза баз данных. Базы данных хранят критически важную информацию, и их качество напрямую влияет на надёжность и безопасность информационных систем. Эксперт анализирует структуру базы данных, её нормализацию, индексы, хранимые процедуры, триггеры и другие объекты. Проверяется целостность данных, корректность связей между таблицами, производительность запросов. В случаях, когда база данных была повреждена в результате сбоя или вредоносного воздействия, экспертиза может быть направлена на восстановление данных и установление причин повреждения.

При проведении компьютерной экспертизы качества разработки эксперт руководствуется не только условиями конкретного договора, но и общими требованиями, предъявляемыми к программным продуктам. К таким требованиям относятся функциональная полнота, корректность, надёжность, производительность, удобство использования, сопровождаемость и переносимость. Эти характеристики в совокупности определяют качество продукта и его пригодность для решения задач, для которых он создавался.

Важно понимать, что компьютерная экспертиза качества разработки не сводится к простой констатации наличия или отсутствия ошибок. Эксперт должен оценить существенность выявленных недостатков, их влияние на возможность использования продукта по назначению, а также определить, являются ли эти недостатки следствием некачественной работы исполнителя или они обусловлены иными причинами, например, изменением требований заказчиком в процессе разработки или неправильной эксплуатацией.

Союз «Федерация судебных экспертов» предлагает услуги по проведению компьютерной экспертизы качества программных продуктов, сайтов и баз данных. Наши эксперты обладают необходимыми знаниями и опытом для решения задач любой сложности в этой области. Мы работаем с различными технологиями и платформами, что позволяет нам проводить экспертизу продуктов, созданных на любых языках программирования и с использованием любых фреймворков.

Стоимость экспертизы начинается от 20 000 рублей. Выезд на место экспертного осмотра оплачивается дополнительно. В случае необходимости наши юристы могут представлять интересы клиента в суде, используя результаты экспертизы для защиты его прав и законных интересов.

Раздел 3. Компьютерная экспертиза: поиск и восстановление данных

Поиск и восстановление данных является одним из наиболее востребованных направлений компьютерной экспертизы. Утрата информации может произойти по самым разным причинам: в результате случайного удаления, сбоя оборудования, вредоносной атаки, шифрования программными вымогателями или физического повреждения носителя. В таких ситуациях именно экспертиза позволяет вернуть доступ к данным, которые кажутся безвозвратно потерянными, и установить обстоятельства их утраты.

В основе возможности восстановления удалённых данных лежит принцип работы файловых систем. Когда пользователь удаляет файл, операционная система, как правило, не стирает его содержимое физически. Вместо этого она помечает занимаемое файлом пространство как свободное для записи новых данных. До тех пор, пока это пространство не будет перезаписано другой информацией, существует вероятность успешного восстановления файла, даже если с момента удаления прошло значительное время. Чем меньше времени прошло с момента удаления и чем менее активно использовался носитель после этого, тем выше шансы на полное восстановление .

Однако на практике всё не так просто. Современные операционные системы и файловые системы используют сложные механизмы управления пространством, такие как журналирование, дефрагментация и TRIM для твердотельных накопителей. Эти механизмы могут существенно снизить вероятность восстановления, особенно если носитель активно использовался после удаления данных. Кроме того, злоумышленники могут целенаправленно уничтожать следы, используя программы для безопасного удаления файлов, которые многократно перезаписывают область диска, где хранились данные.

Компьютерная экспертиза в области восстановления данных начинается с создания полной посекторной копии носителя. Это делается для того, чтобы сохранить оригинал в неизменном виде и обеспечить возможность многократного анализа без риска повреждения исходных данных. Копия создаётся с использованием специализированного оборудования и программного обеспечения, которое гарантирует точное воспроизведение всех секторов, включая те, которые не используются файловой системой. После создания копии эксперт приступает к анализу.

Методы восстановления данных можно разделить на несколько категорий. Первая категория — методы, основанные на анализе метаданных файловой системы. Файловые системы хранят информацию о файлах в специальных структурах, таких как таблица размещения файлов (FAT) или главная файловая таблица (MFT) в NTFS. Если эти структуры не были повреждены, эксперт может извлечь из них сведения об удалённых файлах и восстановить их. Однако метаданные часто повреждаются или перезаписываются, особенно на активно используемых дисках.

Вторая категория — методы файлового карвинга. Карвинг не полагается на метаданные файловой системы. Вместо этого он ищет в пространстве диска сигнатуры файлов — характерные последовательности байтов, которые указывают на начало файла определённого типа. Например, файлы JPEG начинаются с определённой последовательности байтов, файлы PDF — с другой. Обнаружив сигнатуру, эксперт может извлечь файл, даже если метаданные о нём были утрачены. Слабость карвинга заключается в том, что при высокой фрагментации файлов он может давать сбои, поскольку фрагменты одного файла могут быть разбросаны по разным участкам диска .

Третья категория — методы, основанные на анализе журналов и иных артефактов. Многие операционные системы и приложения ведут журналы, в которых фиксируются операции с файлами. Эти журналы могут содержать информацию о том, какие файлы были удалены, когда и, возможно, кем. Анализ таких артефактов позволяет не только восстановить данные, но и установить обстоятельства их утраты.

Отдельного внимания заслуживает восстановление данных с повреждённых носителей. Повреждения могут быть логическими, связанными с нарушением файловой системы, и физическими, вызванными механическими воздействиями, воздействием высоких температур, жидкостей или иными факторами. В случае логических повреждений эксперт может использовать программные средства для восстановления файловой системы и извлечения данных. В случае физических повреждений жёстких дисков работа часто проводится в специальных условиях, так называемых «чистых комнатах», где обеспечивается защита от пыли и других загрязнений. Для флеш-накопителей и твердотельных дисков применяются методы выпаивания чипов памяти и чтения данных напрямую .

Шифрование данных представляет собой особую проблему. Программы-вымогатели шифруют файлы пользователя и требуют выкуп за их расшифровку. В таких случаях возможность восстановления зависит от многих факторов: алгоритма шифрования, длины ключа, наличия у эксперта необходимых инструментов и вычислительных ресурсов. В некоторых случаях, если ключ шифрования слабый или реализация алгоритма имеет уязвимости, расшифровка возможна. В других случаях единственным способом остаётся поиск резервных копий или уплата выкупа, что, однако, не гарантирует восстановления данных и сопряжено с рисками.

Важно понимать, что успешность восстановления данных никогда не может быть гарантирована на сто процентов. Она зависит от множества факторов, включая характер повреждения, время, прошедшее с момента утраты, активность использования носителя после инцидента и многие другие. Тем не менее, в большинстве случаев квалифицированный эксперт способен восстановить хотя бы часть утраченной информации, которая может оказаться критически важной для расследования или судебного разбирательства.

Компьютерная экспертиза в области поиска и восстановления данных также включает установление причин утраты информации. Это может быть важно для привлечения к ответственности лиц, виновных в уничтожении данных, или для получения страхового возмещения. Эксперт анализирует состояние носителя, журналы системы, следы вредоносной активности и иные артефакты, чтобы определить, что именно привело к утрате данных.

Союз «Федерация судебных экспертов» предлагает услуги по восстановлению данных любой сложности. Наши эксперты имеют в распоряжении современное оборудование и программное обеспечение, позволяющее работать с носителями различных типов, включая жёсткие диски, твердотельные накопители, флеш-карты и мобильные устройства. Мы понимаем, насколько важна каждая крупица информации, и делаем всё возможное для её сохранения и восстановления.

Стоимость компьютерной экспертизы по восстановлению данных начинается от 20 000 рублей и зависит от сложности конкретного случая. Выезд эксперта на место оплачивается дополнительно. В случае необходимости наши юристы обеспечат представительство интересов клиента в суде.

Раздел 4. Практические кейсы компьютерной экспертизы

Теоретические положения, изложенные в предыдущих разделах, обретают реальный смысл лишь тогда, когда они подкреплены примерами из экспертной практики. В настоящем разделе представлены десять кейсов, иллюстрирующих различные аспекты компьютерной экспертизы: от расследования хакерских атак до восстановления данных и оценки качества программных продуктов. Каждый кейс описывает ситуацию, с которой клиент обратился в Союз «Федерация судебных экспертов», задачи, поставленные перед экспертами, методы, использованные в ходе исследования, и результаты, к которым привела экспертиза.

Кейс 1. Взлом корпоративной почты и хищение коммерческой тайны

В Союз «Федерация судебных экспертов» обратилась коммерческая организация, столкнувшаяся с утечкой конфиденциальной информации. Незадолго до обращения руководство компании обнаружило, что сведения о готовящейся сделке, составлявшие коммерческую тайну, стали известны конкурентам. Подозрения пали на одного из сотрудников, имевшего доступ к корпоративной почте и внутренним документам. Однако прямых доказательств его причастности не было, и руководство компании приняло решение обратиться за проведением компьютерной экспертизы.

Перед экспертами были поставлены следующие вопросы: имел ли место несанкционированный доступ к почтовому ящику сотрудника, если да, то каким способом он был осуществлён, какие файлы и данные были скопированы или переданы, и можно ли установить, когда и с какого устройства это было сделано.

Экспертиза началась с изъятия корпоративного ноутбука сотрудника и создания полной посекторной копии его жёсткого диска. Одновременно были получены логи почтового сервера, содержащие информацию о подключениях к почтовому ящику. Анализ логов показал, что за несколько дней до утечки имели место подключения к ящику с IP-адреса, не принадлежавшего корпоративной сети. Подключения происходили в нерабочее время и с устройства, не идентифицированного как корпоративный компьютер.

Далее эксперты приступили к анализу ноутбука. В ходе исследования были обнаружены следы использования программы для удалённого доступа, которая не была установлена корпоративной политикой безопасности. Программа была запущена с флеш-накопителя, что подтверждалось записями в системном реестре и журналах подключения USB-устройств. Кроме того, в истории браузера были обнаружены следы посещения сайтов, предлагающих услуги по аренде виртуальных серверов, что могло указывать на подготовку к атаке.

Анализ удалённых файлов позволил восстановить несколько документов, которые, судя по временным меткам, были скопированы на внешний носитель. Хеш-суммы этих документов совпадали с хеш-суммами файлов, хранившихся в почтовом ящике и впоследствии отправленных с внешнего адреса. Хронология событий, восстановленная экспертами, указывала на то, что сотрудник скопировал конфиденциальные документы на флеш-накопитель, после чего отправил их через личный почтовый ящик.

По результатам компьютерной экспертизы было подготовлено заключение, которое легло в основу дисциплинарного расследования и последующего увольнения сотрудника. Компания также использовала заключение эксперта при обращении в правоохранительные органы.

Стоимость экспертизы в данном случае составила 45 000 рублей, включая выезд эксперта для изъятия оборудования.

Кейс 2. Атака программы-вымогателя на бухгалтерскую базу данных

В Союз «Федерация судебных экспертов» обратилась бухгалтерская фирма, сервер которой подвергся атаке программы-вымогателя. Все файлы бухгалтерской базы данных были зашифрованы, а на рабочем столе появилось сообщение с требованием выкупа. Фирма располагала резервными копиями, но они оказались неполными: последняя копия была сделана за неделю до атаки, и в ней отсутствовали данные за несколько критически важных дней. Клиент обратился с просьбой восстановить хотя бы часть утраченных данных и установить, каким образом вредоносная программа проникла на сервер.

Перед экспертами были поставлены задачи: определить вектор атаки, выявить вредоносный файл, попытаться восстановить зашифрованные данные или найти способы их расшифровки, а также дать рекомендации по предотвращению подобных инцидентов в будущем.

Эксперты начали с создания образа серверного жёсткого диска. Анализ журналов событий показал, что за несколько часов до шифрования на сервере был запущен исполняемый файл, полученный по электронной почте. Файл маскировался под счёт-фактуру и имел расширение, которое могло быть автоматически открыто почтовым клиентом. Анализ самого файла методами обратной разработки выявил, что он содержит код, который загружает из сети основной модуль шифрования и запускает его.

Восстановление зашифрованных данных представляло собой сложную задачу. Алгоритм шифрования, использованный злоумышленниками, был достаточно стойким, и подбор ключа методом перебора не представлялся возможным. Однако эксперты обнаружили, что программа-вымогатель оставила в системе некоторые служебные файлы, которые могли содержать информацию, полезную для восстановления. Кроме того, анализ теневых копий, создаваемых операционной системой, позволил обнаружить несколько точек восстановления, которые не были удалены вредоносной программой. С этих точек удалось извлечь часть документов, которые отсутствовали в резервной копии.

Хотя полностью восстановить все данные не удалось, экспертам удалось вернуть значительную часть утраченной информации и, что более важно, установить способ проникновения вредоносной программы в систему. Заключение экспертов было использовано для настройки систем безопасности и обучения персонала.

Стоимость экспертизы составила 60 000 рублей, включая анализ вредоносного файла и работу по восстановлению данных.

Кейс 3. Спор о качестве разработки мобильного приложения

В Союз «Федерация судебных экспертов» обратилась инвестиционная компания, заказавшая разработку мобильного приложения для управления инвестиционным портфелем. Приложение было принято у разработчика и запущено в эксплуатацию, однако вскоре пользователи начали жаловаться на сбои, зависания и некорректное отображение данных. Компания-заказчик обратилась к разработчику с требованием устранить недостатки, но тот заявил, что приложение соответствует техническому заданию, а проблемы вызваны неправильной эксплуатацией. Спор перешёл в судебную плоскость, и суд назначил компьютерную экспертизу.

Перед экспертами были поставлены вопросы: соответствует ли переданное приложение условиям технического задания, являются ли выявленные недостатки существенными, могли ли они возникнуть по вине разработчика, и содержит ли код приложения признаки заимствования из открытых источников без соблюдения лицензионных условий.

Эксперты изучили техническое задание, договор, акты приёмки-передачи, исходный код приложения и документацию. Анализ кода показал, что приложение содержит ряд архитектурных решений, которые не были предусмотрены техническим заданием и которые приводили к повышенной нагрузке на серверную часть. Кроме того, в коде были обнаружены фрагменты, совпадающие с кодом из открытой библиотеки, распространяемой под лицензией, требующей указания авторства. В приложении такое указание отсутствовало.

Тестирование приложения в контролируемой среде подтвердило наличие сбоев, описанных пользователями. Эксперты смоделировали нагрузку, соответствующую заявленному количеству пользователей, и обнаружили, что при определённых условиях приложение перестаёт корректно обрабатывать запросы и выдаёт ошибки. Было установлено, что причиной является неоптимальный алгоритм работы с базой данных, реализованный разработчиком.

По результатам экспертизы был сделан вывод о том, что приложение не в полной мере соответствует условиям технического задания, выявленные недостатки являются существенными и могли быть устранены разработчиком на этапе тестирования. Заключение экспертов было использовано судом при вынесении решения в пользу заказчика.

Стоимость экспертизы составила 80 000 рублей, включая анализ исходного кода и тестирование приложения.

Кейс 4. Восстановление данных с повреждённого жёсткого диска

В Союз «Федерация судебных экспертов» обратился индивидуальный предприниматель, жёсткий диск которого вышел из строя. На диске хранилась база клиентов, договоры и финансовая отчётность за несколько лет. Резервные копии не делались. При включении компьютер издавал щелкающие звуки, и система не загружалась. Предприниматель обратился в несколько сервисных центров, но там ему сообщили, что данные восстановлению не подлежат. Тогда он решил обратиться к экспертам.

Перед экспертами была поставлена задача восстановить как можно большую часть данных с неисправного жёсткого диска.

При первичном осмотре было установлено, что диск имеет физическую неисправность: вероятно, повреждена магнитная головка или поверхности пластин. Работа с таким диском в обычных условиях могла привести к дальнейшему повреждению и полной утрате данных. Эксперты приняли решение о вскрытии гермоблока диска в условиях, приближенных к «чистой комнате», и замене блока магнитных головок на исправный донорский компонент.

После замены головок диск удалось подключить к специализированному комплексу для работы с неисправными накопителями. Комплекс позволил считать посекторную копию диска, хотя некоторые сектора читались с ошибками. Затем эксперты приступили к анализу копии. Файловая система была повреждена, и стандартные методы восстановления не работали. Эксперты применили методы файлового карвинга, а также анализ оставшихся структур файловой системы.

В результате кропотливой работы удалось восстановить около 85 процентов данных. База клиентов была восстановлена практически полностью, большинство договоров также удалось извлечь. Часть финансовых документов была утрачена безвозвратно, но и то, что удалось вернуть, позволило предпринимателю продолжить деятельность и избежать серьёзных потерь.

Стоимость экспертизы в данном случае составила 120 000 рублей, что было обусловлено сложностью аппаратного вмешательства и длительностью процедуры восстановления.

Кейс 5. Экспертиза сайта на предмет соответствия условиям договора

В Союз «Федерация судебных экспертов» обратилась торговая компания, заказавшая разработку интернет-магазина. После запуска сайта выяснилось, что он работает медленно, не индексируется поисковыми системами должным образом и не содержит ряда функций, которые, по мнению заказчика, были предусмотрены договором. Разработчик утверждал, что все обязательства выполнены, а проблемы связаны с хостингом и действиями самого заказчика. Спор был передан на разрешение суда, который назначил компьютерную экспертизу.

Перед экспертами были поставлены вопросы: соответствует ли сайт условиям договора и технического задания, каковы причины низкой производительности, содержит ли сайт уязвимости, которые могут быть использованы злоумышленниками, и соответствует ли программный код сайта требованиям безопасности.

Эксперты проанализировали договор, техническое задание, исходный код сайта, конфигурацию сервера и базу данных. Тестирование производительности показало, что сайт действительно работает медленно, особенно при обращении к каталогу товаров. Анализ кода выявил, что запросы к базе данных формируются неоптимальным образом, что приводит к избыточной нагрузке. Кроме того, в коде были обнаружены уязвимости, позволяющие осуществить SQL-инъекцию и получить доступ к данным пользователей.

Сравнение функциональности сайта с техническим заданием показало, что ряд функций, предусмотренных заданием, отсутствует или реализован некорректно. В частности, не была реализована система фильтрации товаров по нескольким параметрам, которая была явно описана в задании. Также отсутствовала интеграция с платёжной системой, которая должна была быть выполнена в соответствии с договором.

Заключение экспертов подтвердило, что сайт не соответствует условиям договора и технического задания, а выявленные недостатки являются существенными. Суд вынес решение в пользу заказчика, обязав разработчика устранить недостатки или вернуть уплаченные средства.

Стоимость экспертизы составила 55 000 рублей.

Кейс 6. Расследование инцидента с шпионским программным обеспечением на корпоративном компьютере

В Союз «Федерация судебных экспертов» обратилась юридическая фирма, заподозрившая, что один из сотрудников установил на свой рабочий компьютер программу для скрытого наблюдения. Подозрения возникли после того, как конфиденциальная информация о переговорах стала известна конкурирующей фирме. Руководство приняло решение провести компьютерную экспертизу, чтобы установить, велось ли наблюдение за сотрудником, и если да, то кем и с помощью какого программного обеспечения.

Перед экспертами были поставлены задачи: обнаружить на компьютере следы установки и использования шпионского программного обеспечения, определить, какие данные могли быть собраны, и установить, когда и как программа была установлена.

Эксперты создали образ жёсткого диска и приступили к анализу. В первую очередь был проведён поиск известных сигнатур шпионских программ с использованием антивирусных сканеров и специализированных утилит. Однако современных антивирусов на компьютере не было, и следы вредоносной активности могли быть скрыты. Тогда эксперты перешли к ручному анализу автозагрузки, системного реестра и журналов событий.

В разделе автозагрузки был обнаружен подозрительный исполняемый файл, замаскированный под системный компонент. Файл находился в нестандартной директории и не имел цифровой подписи. Анализ файла методами обратной разработки показал, что он осуществляет скрытую запись экрана, нажатий клавиш и периодически отправляет собранные данные на внешний сервер. Сетевой адрес сервера был извлечён из кода программы.

Далее эксперты проанализировали журналы подключений и обнаружили регулярные соединения с указанным адресом в нерабочее время. Хронология установки программы была восстановлена по записям в реестре: программа была установлена за три недели до того, как утечка информации была обнаружена. Время установки совпадало со временем, когда подозреваемый сотрудник имел физический доступ к компьютеру.

Собранные доказательства позволили сделать вывод о том, что на компьютере действительно использовалось шпионское программное обеспечение, и установить вероятный круг лиц, причастных к его установке. Заключение экспертов было передано в службу безопасности компании и использовано в служебном расследовании.

Стоимость экспертизы составила 70 000 рублей.

Кейс 7. Экспертиза базы данных на предмет повреждения и восстановления

В Союз «Федерация судебных экспертов» обратилась медицинская клиника, база данных которой перестала корректно работать. Пациенты не могли записаться на приём, врачи не видели историю болезни, система выдавала ошибки при обращении к таблицам. Администратор базы данных пытался восстановить работоспособность, но безуспешно. Клиника обратилась за помощью к экспертам.

Перед экспертами были поставлены задачи: установить причину повреждения базы данных, восстановить работоспособность системы и извлечь как можно больше данных.

Эксперты начали с анализа журналов транзакций базы данных. Было обнаружено, что за несколько дней до инцидента имели место ошибки ввода-вывода, связанные с жёстким диском сервера. Диск издавал нехарактерные звуки, и система периодически зависала. Это указывало на начинающийся отказ оборудования. Кроме того, в журналах были зафиксированы попытки несанкционированного доступа к базе данных с внешнего IP-адреса, хотя они и не увенчались успехом.

Анализ файлов базы данных показал, что некоторые страницы данных повреждены и не могут быть прочитаны. Эксперты создали копию файлов базы данных и приступили к восстановлению. Сначала была предпринята попытка восстановить базу данных с помощью штатных средств СУБД, но она не увенчалась успехом из-за степени повреждения. Тогда эксперты применили методы извлечения данных на уровне страниц: читая уцелевшие страницы и анализируя их структуру, они смогли восстановить значительную часть записей.

Параллельно был проведён анализ жёсткого диска. Подтвердилось наличие физических дефектов, которые привели к повреждению данных. Эксперты рекомендовали клинике заменить диск и настроить систему резервного копирования, которая бы позволяла восстанавливать данные на любой момент времени.

В результате работы удалось восстановить около 90 процентов данных базы. Потерянные записи относились к последним двум дням работы клиники, и их удалось частично восстановить по бумажным документам и памяти сотрудников. Заключение экспертов помогло клинике не только восстановить работу, но и понять причины инцидента, чтобы предотвратить его повторение.

Стоимость экспертизы составила 95 000 рублей.

Кейс 8. Спор о заимствовании исходного кода программного продукта

В Союз «Федерация судебных экспертов» обратилась IT-компания, разрабатывающая программное обеспечение для автоматизации бизнес-процессов. Компания обнаружила, что её конкурент выпустил на рынок продукт, который, по мнению заявителя, содержал значительные фрагменты кода, заимствованные из их разработки. Конкурент утверждал, что код был написан независимо, а совпадения являются случайными или обусловлены использованием общих библиотек. Спор был передан в суд, который назначил компьютерную экспертизу.

Перед экспертами были поставлены вопросы: содержат ли исходные коды двух программных продуктов фрагменты, которые можно квалифицировать как заимствованные, каков объём заимствования, и является ли это заимствование существенным для функционирования продукта.

Эксперты получили доступ к исходным кодам обоих продуктов. Анализ начался с сравнения структуры проектов, наименований файлов, классов и функций. Были обнаружены многочисленные совпадения в naming conventions и архитектурных решениях, которые не были обусловлены требованиями предметной области. Далее был проведён детальный анализ фрагментов кода. Эксперты использовали методы сравнения, учитывающие не только текстовое совпадение, но и логическую структуру кода. Были выявлены фрагменты, которые совпадали дословно, включая комментарии и незначащие элементы, такие как пробелы и переносы строк.

Для оценки объёма заимствования эксперты применили метрики, основанные на количестве совпадающих строк, количестве заимствованных функций и классов, а также на важности этих компонентов для продукта. Было установлено, что заимствованные фрагменты составляют около 30 процентов кода, причём среди них есть ключевые модули, реализующие основные бизнес-функции.

Эксперты также проанализировали возможность независимого создания таких совпадений. Учитывая специфику кода, наличие нестандартных решений и совпадение ошибок, вероятность независимого написания была признана крайне низкой. Заключение экспертов стало ключевым доказательством в суде, и дело было решено в пользу заявителя.

Стоимость экспертизы составила 150 000 рублей, что было обусловлено большим объёмом анализируемого кода и сложностью сравнения.

Кейс 9. Восстановление переписки и файлов с мобильного телефона

В Союз «Федерация судебных экспертов» обратился адвокат, представляющий интересы клиента в гражданском споре. Клиент утверждал, что его партнёр по бизнесу отправлял ему сообщения с угрозами и требованиями, которые впоследствии были удалены. Кроме того, на телефоне хранились фотографии и документы, которые могли иметь доказательственное значение, но также были удалены. Адвокат обратился с просьбой провести компьютерную экспертизу мобильного телефона и восстановить утраченные данные.

Перед экспертами были поставлены задачи: восстановить удалённые сообщения, фотографии и файлы, установить время их создания и удаления, а также обеспечить сохранность доказательств для представления в суд.

Эксперты начали с создания полной копии памяти телефона. Для этого использовались специализированные методы, учитывающие особенности мобильных устройств: подключение по протоколам отладки, создание образа через файловую систему или, при необходимости, прямое чтение чипов памяти. В данном случае удалось получить достаточно полный образ.

Анализ образа показал, что удалённые сообщения ещё не были перезаписаны. Используя методы карвинга и анализа баз данных мессенджеров, эксперты извлекли значительное количество удалённых сообщений. Хронология переписки была восстановлена по временным меткам, которые сохранились в базах данных приложений. Также удалось восстановить удалённые фотографии и несколько документов в формате PDF.

Особое внимание было уделено обеспечению целостности доказательств. Эксперты создали хеш-суммы восстановленных файлов и оформили их в виде приложения к заключению. Это гарантировало, что представленные в суд данные не были изменены в процессе экспертизы.

Восстановленные сообщения и файлы были использованы адвокатом для построения позиции по делу. Суд принял заключение экспертов в качестве доказательства, и дело было решено в пользу клиента.

Стоимость экспертизы составила 50 000 рублей.

Кейс 10. Анализ инцидента с утечкой данных через облачное хранилище

В Союз «Федерация судебных экспертов» обратилась образовательная организация, столкнувшаяся с утечкой персональных данных студентов и преподавателей. Информация появилась в открытом доступе на одном из файлообменников. Руководство подозревало, что утечка произошла через облачное хранилище, используемое сотрудниками для обмена документами. Внутреннее расследование не дало результатов, и организация обратилась к экспертам.

Перед экспертами были поставлены задачи: установить, каким образом данные попали в открытый доступ, какие учётные записи были скомпрометированы, и можно ли установить лицо, осуществившее несанкционированный доступ.

Эксперты проанализировали журналы доступа к облачному хранилищу за период, предшествующий утечке. Были выявлены подозрительные подключения с IP-адресов, не принадлежащих организации. Подключения осуществлялись с использованием учётных данных одного из сотрудников, однако в нерабочее время и с устройств, не зарегистрированных в корпоративной сети.

Далее эксперты исследовали компьютер сотрудника, чья учётная запись была использована. Анализ показал, что на компьютере был установлен вредоносный браузерный плагин, который перехватывал учётные данные при входе в облачное хранилище и отправлял их на внешний сервер. Плагин был установлен вместе с бесплатной программой, загруженной сотрудником из ненадёжного источника.

Сопоставление времени подключений с IP-адресов, не принадлежащих организации, и времени работы вредоносного плагина показало, что злоумышленники получили доступ к учётной записи через перехваченные данные. Затем они скопировали файлы с персональными данными и опубликовали их. Хотя установить конкретное лицо, осуществившее атаку, не удалось, эксперты смогли восстановить полную картину инцидента и указать на уязвимость, которая привела к компрометации.

Заключение экспертов было использовано для уведомления регулятора об инциденте и для принятия мер по защите данных. Организация также провела обучение сотрудников по вопросам информационной безопасности.

Стоимость экспертизы составила 65 000 рублей.

Заключение

Компьютерная экспертиза представляет собой динамично развивающуюся область судебной экспертизы, охватывающую широкий спектр задач: от расследования хакерских атак и анализа вредоносного программного обеспечения до оценки качества разработки программных продуктов и восстановления утраченных данных. В условиях цифровизации всех сфер жизни значимость этого вида экспертизы будет неуклонно возрастать, поскольку количество компьютерных инцидентов и споров, связанных с цифровыми технологиями, увеличивается с каждым годом.

Настоящая работа показала, что компьютерная экспертиза требует не только глубоких технических знаний, но и понимания правовых аспектов, умения работать с доказательствами и представлять результаты исследования в форме, пригодной для использования в суде. Эксперт должен обладать навыками анализа файловых систем, операционных систем, сетевых протоколов, программного кода и аппаратного обеспечения. Кроме того, он должен быть знаком с методами обратной разработки, криптоанализа и восстановления данных.

Союз «Федерация судебных экспертов» предлагает полный спектр услуг по компьютерной экспертизе. Наши специалисты имеют опыт работы с самыми сложными и нестандартными задачами. Мы гарантируем объективность, независимость и высокое качество экспертных исследований. Стоимость экспертизы начинается от 20 000 рублей, выезд на место экспертного осмотра оплачивается дополнительно. В случае судебного разбирательства наши юристы обеспечат профессиональное представительство интересов клиента.

Мы приглашаем к сотрудничеству всех, кто нуждается в квалифицированной компьютерной экспертизе. Обращайтесь в Союз «Федерация судебных экспертов», и мы поможем вам установить истину в мире цифровых доказательств.