Расследование преступлений в сфере компьютерной информации

Общая характеристика преступлений в сфере компьютерной информации

К преступлениям в сфере компьютерной информации относятся неправомерный доступ к компьютерной информации (ст. 272 УК РФ), создание, использование и распространение вредоносных программ для ЭВМ (ст. 273 УК РФ), нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети (ст. 274 УК РФ).

Объектами посягательства по данной категории преступлений будут являться банки и базы данных компьютерных систем и сетей, отдельные компьютеры и файлы, программное обеспечение.

Подробный анализ способов совершения компьютерных преступлений провел Ю.М. Батурин. Он разделил все способы компьютерных преступлений на осуществляемые методами перехвата, методами несанкционированного доступа и методами манипуляции.

1. К методам перехвата он отнес:

• непосредственный перехват - его особенностью является то, что подключение производится прямо к коммуникационным каналам либо узлам передачи данных;
• электромагнитный перехват, который осуществляется по остаточным излучениям тех или иных устройств (дисплея, принтера, систем коммуникаций), причем на достаточном удалении от объекта излучения.

Э. Мелик дополняет эту группу методом "Уборка мусора" - поиском "отходов" информационного процесса как физического характера (бумаг, счетов, иного мусора), так и электронного (поиск и восстановление удаленных данных).

Нам представляется логичным также дополнение этой группы методом аудиовизуального перехвата и расшифровки данных.

2. Методы несанкционированного доступа подразделяются:

• на метод "Следование за дураком" (pigbacking) - несанкционированное проникновение в закрытые зоны следом за законным пользователем или вместе с ним;
• метод "За хвост" (between the lines entry) - подключение к линии связи законного пользователя и после прекращения им сеанса связи продолжение осуществления доступа к системе от его имени;
• метод "Компьютерный абордаж" (hacking) - подбор регистрационных данных пользователей (как правило, имен и паролей);
• метод "Неспешный выбор" (browsing) - выявление и использование слабых мест в защите;
• метод "Поиск бреши" (trapdoor entry) - использование случайных ошибок и неудач разработчиков программного обеспечения после анализа работы программы;
• метод "Люк" (trapdoor) - использование специально запланированных разработчиками недокументированных функций системы защиты;
• метод "Маскарад" (masquerading) - использование чужого имени и кода доступа;
• метод "Мистификация" (spoofing) - удержание случайно подключившегося пользователя или системы и получение (обманным путем или с помощью взлома) от него полезной информации;
• метод "Аварийный" - использование программ защиты системы от сбоев. При работе таких программ защита от взлома несколько ослабляется;
• метод "Склад без стен" - получение доступа в результате системной поломки (случайной или инициированной взломщиком).

3. Методы манипуляции:

• подмена данных - ввод неверной информации;
• подмена кода - изменение самого процесса ввода, хранения, обработки, вывода информации;
• Троянский конь" (Trojan horse) - введение в программу (последующее или на этапе ее разработки) команд, позволяющих осуществлять дополнительные, интересующие злоумышленника, функции;
• Салями" (salami attack) - присваивание округляемых остатков на счетах (зачастую является функцией "компьютерных червей" в банковских сетях);
• Логическая бомба" (logic bomb) - ввод в программу на этапе разработки или последующего ее изменения специальных команд, срабатывающих при определенных условиях;
• Временная бомба" (time bomb) - специальные команды, вводимые в программу, срабатывающие в определенный момент времени или временной интервал;
• асинхронная атака, состоящая в смешивании команд большого количества пользователей, с которыми система не может справиться.

4. Нам представляется необходимым дополнить данную классификацию методами умышленной порчи информации. Использование этих методов может являться как самоцелью злоумышленника, так и способом сокрытия иного преступления. К таким методам можно отнести:

• запуск программы форматирования (особенно - нижнеуровневого форматирования) винчестера;
• программное стирание файлов;
• уничтожение следов в реестре и log-файлах (или самих этих файлов);
• запуск в компьютерную систему (сеть) или в персональный компьютер различных вирусных и иных вредоносных программ;
• запуск программ, присваивающих себе функции администратора компьютера, компьютерной системы или сети.

Обстановка совершения данных преступлений характеризуется тем, что подобные преступления могут совершаться как непосредственно на поражаемом компьютере, так и с удаленного стационарного (а в современных условиях развития компьютерной техники - и перемещающегося) терминала. Данным преступлениям, как правило, способствуют использование самодельных и нелицензионных ("взломанных") программ, неэффективность методов защиты, неприменение всех установленных средств и методов защиты и проверки компьютера (системы или сети), несвоевременное обновление кодов и паролей доступа, нарушение правил хранения и уничтожения копий файлов, компьютерных распечаток и иных носителей информации, облегчающих действия злоумышленников, неприменение всех программных средств протоколирования и регистрации действий пользователей.

Субъекты данных преступлений, как правило, характеризуются высоким интеллектуальным уровнем, наличием соответствующего опыта или специальной подготовки в области компьютерных средств. Чем сложнее примененный способ совершения компьютерных преступлений, тем более ограничен круг субъектов. Многие ученые определяют возможный возраст субъектов как 18-60 лет. Однако стоит отметить, что освоение новых технологий и эксперименты с использованием различных функций легче проходят и больше свойственны молодежи. По нашему мнению, основной круг субъектов состоит из лиц 16-35 лет (в некоторых случаях до 45 лет).

Согласно данным Э. Мелик, наиболее распространенными мотивами совершения компьютерных преступлений являются: 1) корыстные соображения - 66%; 2) политические цели - 17%; 3) исследовательский интерес - 7%; 4) хулиганские побуждения и озорство - 5%; 5) месть - 5%.

В качестве следов преступления могут выступать как обычные, трасологические, следы (пальцев рук и т.д.), так и компьютерные носители информации (диски, дискеты и т.д.), документы (записи пользователей, записи злоумышленника, свидетельствующие о разработке преступления, подборе паролей и т.д.), а также "виртуальные" следы в памяти компьютеров и т.д.

Признаками компьютерных преступлений можно считать участившиеся случаи немотивированной перезагрузки компьютера, отказы систем, частые сбои в процессе работы, появление фальшивых данных, исчезновение информации, блокировка действий пользователя и администратора, замедление, ухудшение работы компьютера (а также системы или сети), немотивированное изменение паролей и сетевых адресов, а также телефонов "дозвона" до интернет-провайдера, осуществление отдельных операций без команды пользователя и т.д.

Последствиями преступлений будут: хищение информации, компьютерных программ, баз данных или денежных средств, уничтожение или модификация информации, блокировка работы компьютера, системы или сети, механический выход из строя компьютера (существуют вирусы, повышающие температуру процессора, винчестера или других элементов компьютера, подающие на них повышенное напряжение и "сжигающие" их), автоматическая рассылка пораженным компьютером вирусов и вредоносных программ по адресам "гостевой книги" или иным спискам контактов пользователя, перевод, финансовые потери (при оплате платных сайтов и международных счетов) и т.д.

К обстоятельствам, подлежащим установлению, относятся как обстоятельства, указанные в ст. 73 УПК РФ, подлежащие доказыванию, так и уровень надежности компьютерных средств защиты, используемое программное обеспечение, использование лицензионной продукции, соответствие лицензионной продукции параметрам выданного сертификата, регулярность обновления баз защитных программ, спецификация "пораженного" объекта (модель и показатели персонального компьютера, количество и местоположение компьютеров, объединенных в систему или сеть), количество и персональный состав лиц, имеющих правомерный доступ к компьютеру, лиц, осуществляющих функцию администратора, наличие и персональный состав иных лиц, владеющих компьютерными технологиями и обладающих необходимыми навыками, наличие локальной сети или доступа в Интернет, порядок осуществления смены паролей, порядок хранения и утилизации "отходов" и т.д.

Типичные следственные ситуации по делам о компьютерных преступлениях

Типичные следственные ситуации по данной категории преступлений можно классифицировать по различным основаниям.

По источнику информации выделяют ситуации, когда:

• преступление обнаружено самим пользователем;
• преступление обнаружено в ходе оперативно-розыскной деятельности;
• преступление обнаружено в ходе прокурорских проверок;
• преступление выявлено при проведении ревизии;
• преступление обнаружено в ходе производства следственных действий по другому уголовному делу.

Наименьшим объемом информации характеризуется первая ситуация, наибольшим - последняя.

Вообще в зависимости от объема информации, имеющейся в распоряжении следствия, можно выделить такие ситуации, как:

• отсутствует информация о способе, мотивах, личности злоумышленника, известны только последствия преступного деяния;
• известны способ, мотивы и последствия преступного деяния, но неизвестна личность злоумышленника;
• имеется информация и о способе, и о мотивах, и о личности злоумышленника.

В зависимости от имеющейся у следствия информации проводится предварительная проверка, в ходе которой должны быть получены: документы, обусловливающие права потерпевшего на компьютерную технику или компьютерную информацию, подвергшуюся атаке; документы, отражающие неправомерно совершенную операцию.

В первых двух ситуациях целесообразно строить расследование по следующей схеме: опрос заявителя и свидетелей - осмотр места происшествия с участием специалистов - проведение ОРМ для установления причин преступления, выявления злоумышленников - допрос свидетелей и потерпевших - выемка и изучение компьютерной техники и документации - задержание злоумышленника - допрос подозреваемого - обыски по месту жительства и работы - назначение и производство судебных экспертиз.

В третьей (максимально информативной) ситуации схема может быть несколько иная: изучение материалов предварительной проверки и возбуждение уголовного дела - осмотр места происшествия - задержание злоумышленника - допрос подозреваемого - обыски по месту жительства и работы подозреваемого - допросы потерпевших и свидетелей - выемка компьютерной техники и документации - назначение экспертиз.

Особенности первоначального этапа расследования

Одним из самых важных следственных действий на первоначальном этапе расследования компьютерных преступлений является осмотр места происшествия. К проведению осмотра необходимо привлекать специалистов. Первейшей задачей осмотра является определение местонахождения всех компьютеров, объединенных в систему или сеть. Местоположение компьютеров фиксируется в протоколе и отмечается в составленной схеме. В схеме также фиксируется "иерархия" соединений (одноранговая сеть, компьютеры-администраторы и компьютеры-пользователи и т.д.). Определяются способы объединения (локальная сеть, прямое подключение и т.д.). Выявляются способ связи компьютеров (сетевой кабель связи, контакт через ИК-порты, контакт через выход в Интернет и т.д.), аппаратура, используемая для связи компьютеров, нахождение на момент осмотра. Проверяется нахождение компьютера "в сети" или индивидуальная работа, а также конкретный домен или компьютер, с которым осуществляется контакт. Исследуются кабельные соединения сети на предмет проверки их целостности и определения посторонних включений. Выясняется политика администрирования сети (с какого терминала осуществляется управление). Дальнейший осмотр отдельных персональных компьютеров желательно начинать с компьютера-сервера (администратора сети).

При осмотре персональных компьютеров фиксируется выведенная на дисплей информация (желательно не только описать ее, но и сфотографировать), определяется работающая на момент начала осмотра программа (работающие программы). Выполнение программы должно быть остановлено и зафиксирован результат остановки выполняемой программы. Осматриваются и описываются в протоколе (а также могут быть сфотографированы) подключенные к компьютеру внешние устройства (внешние модемы, сканеры, принтеры, web-камеры и т.д.). Определяются тип и модель компьютера и периферийных устройств, проверяется возможное использование внешних накопителей (внешних винчестеров, "флэшек"). Проверяется наличие в дисководах дискет и дисков. При наличии принтера желательно распечатать "дерево каталогов" (перечень каталогов, содержащихся в компьютере). Некоторые авторы (например, Е.С. Лапин, А.Н. Иванов) предлагают обязательный запуск при осмотре компьютера антивирусных программ, однако нам представляется, что такая проверка не всегда возможна: проверка антивирусными программами пользователя необязательно даст необходимый результат, поскольку у пользователя могут быть устаревшие антивирусные базы; запуск программы с переносного диска серьезно замедляет антивирусную проверку; большой объем винчестера и большое количество файлов на винчестере приведут к слишком продолжительной проверке; вирусы зачастую в первую очередь поражают системную область диска и антивирусные программы. Поэтому нам кажутся возможными осмотр компьютера без антивирусной проверки и последующая загрузка со "спасательной" дискеты. Информация, содержащаяся на компьютере, может быть скопирована на переносные винчестеры. В любом случае копируются на носители системные файлы и файлы протокола (log-файлы). Обязательно проверяются базы программ online- и offline-сетевого общения (электронная почта, mail-агенты, ICQ и т.д.).

Проверяется наличие классических трасологических следов (микрочастиц, следов рук и т.д.). Наиболее вероятные места обнаружения данных следов - клавиши включения и перезагрузки компьютера, кнопки периферийных устройств, клавиатура, розетки, кнопки дисководов и выдвижения дискет, передняя поверхность системного блока, мышь и т.д.

В протоколе фиксируются все манипуляции, произведенные с компьютерными устройствами.

Проверяется возможность отключения компьютера без повреждения обрабатываемых файлов. При отключении компьютеров сети в первую очередь отключается компьютер администратора.

Перед изъятием должен быть решен вопрос об изъятии компьютера целиком или изъятии только жесткого диска компьютера с сохранением на нем данных оперативной памяти. Изымать компьютер целиком (и системный блок, и монитор, и периферийные устройства) желательно, когда исследованию должен быть подвергнут весь компьютер; когда на компьютере установлено уникальное аппаратное обеспечение, с которым связано программное обеспечение (работа компьютера возможна только при его определенной комплектации); когда пользователем установлен пароль на вход (имеется в виду пароль в BIOS); на месте производства следственного действия нет возможности копирования информации жесткого диска и в некоторых иных случаях. При упаковке компьютерной техники фиксируется схема соединений, опечатываются кнопки и разъемы. Каждое устройство упаковывается отдельно в фиксированном положении во избежание повреждений.

Кроме компьютерных устройств, осматриваются и изымаются носители информации: диски, дискеты, съемные винчестеры, "флэшки" и т.д. Описываются их тип, модель, внешний вид, наличие фирменных обозначений, содержащаяся информация, наличие следов пальцев на поверхности носителя. Каждый носитель упаковывается отдельно.

Следует отметить, что любую компьютерную технику и носители следует оберегать от влажности, воздействия высоких или низких температур, электромагнитных полей и т.д.

При осмотре электронных документов определяются их местонахождение (конкретный носитель и "адрес" на носителе, атрибуты файла (архивный, скрытый, системный и т.д.), формат (doc, rtf, html, txt и т.д.), объем файла, время создания и изменения. Далее включается соответствующая программная оболочка (WordPad, Word и т.д.), в которой и открывается файл. В открытом документе изучается содержащаяся информация (по критериям, аналогичным исследованию письменной речи).

Допросы потерпевших и свидетелей. При расследовании данной категории преступлений может быть допрошено руководство организации, на компьютерную технику или компьютерную информацию которой было осуществлено посягательство, или индивидуальные пользователи, технический (программисты, системные администраторы) и обслуживающий персонал, лица, работающие на "пораженном" терминале, а также иные сотрудники организации. В ходе допросов выясняются: время и обстоятельства обнаружения компьютерного преступления; признаки, по которым оно было обнаружено; круг лиц, имеющих доступ к компьютеру; круг лиц, которые могли узнать коды и пароли доступа; круг лиц, обладающих достаточными знаниями и навыками, необходимыми для совершения компьютерного преступления, или интересующихся программированием; используемые на компьютерной технике программы защиты от несанкционированного доступа и антивирусные программы; кто в организации использовал компьютер для целей, не связанных с производственной деятельностью (переписывал игры, программы, фильмы, музыку и т.д.), самостоятельно устанавливал и запускал программы. Следует также установить возможные факты привлечения в организации к решению определенных задач или устранению проблем посторонних нештатных программистов и собрать сведения о них.

При допросе подозреваемого выясняются сведения о его личности, взаимоотношениях с сослуживцами, уровне профессиональной подготовки, опыте по созданию программ конкретного класса, причинах совершения преступления, способе совершения преступления, соучастниках, технических средствах и программном обеспечении, примененных для совершения преступления, источниках финансовых средств для закупки оборудования и программного обеспечения, сведения об источнике получения программного обеспечения и идентификационных данных, способе разработки программ, которыми пользовался злоумышленник, алгоритме их действия, уровне доступа злоумышленника, закрепленных за подозреваемым паролях и терминалах доступа, паролях, кодах доступа к зашифрованной подозреваемым информации и т.д.

Для производства обыска по месту жительства и работы подозреваемого желательно привлечение соответствующего специалиста. Очень важно обеспечить внезапность обыска для воспрепятствования уничтожению информации. После проникновения на объект блокируется доступ пользователей к компьютерам. При обнаружении запущенных программ удаления информации или форматирования выход осуществляется экстренным отключением компьютера. Само изучение компьютерной техники осуществляется аналогично проведению осмотра. Следует учитывать, что подключенные к компьютеру периферийные устройства, а также несколько компьютеров, объединенных в систему или сеть, могут находиться в разных помещениях. При обыске очень важны обнаружение и изъятие не только компьютерной техники и носителей, но также и компьютерных распечаток, отрывочных записей на листах бумаги или в блокноте. При изучении данных записей могут быть обнаружены: план совершения преступления, записи о системе защиты "пораженного" объекта, попытки подбора паролей и имен пользователей и т.д. Обнаруживается и изымается "хакерское", нелицензионное программное обеспечение на дисках и дискетах. Важно также обнаружить телефонные счета (в настоящее время обслуживание доступа в Интернет выделяется в счете отдельной строкой, и по размеру счета можно определить объем использованного интернет-времени).

В ходе обыска следует также обращать внимание на специфическую литературу по программированию, взлому, созданию вредоносных программ и т.д.

Информация о времени доступа в сеть и времени, проведенном в сети, может быть получена путем проведения выемок журналов регистрации или истребования сведений у провайдера.

Последующий этап расследования

На последующем этапе расследования компьютерных преступлений могут быть проведены очные ставки, допросы обвиняемых, следственные эксперименты, экспертизы и иные процессуальные действия.

Очные ставки могут быть проведены между соучастниками компьютерного преступления или подозреваемыми (обвиняемыми) и свидетелями или потерпевшими при наличии в их показаниях существенных противоречий.

С помощью следственного эксперимента могут быть проверены профессиональные навыки злоумышленника: способность "взломать" компьютер при удаленном доступе к нему или шифры и пароли доступа при работе на самом "взламываемом" терминале, создать "хакерскую" или вредоносную программу, возможность "взломать" компьютер определенным способом, возможность появления на экране "закрытой" информации вследствие ошибки, программной или администратора, сбоя в компьютерном оборудовании, возможность наступления определенных последствий при нарушении конкретных правил пользования компьютером и т.д. При проведении следственного эксперимента необходимо использовать компьютерную технику и программное обеспечение, аналогичные тем, которые стали объектами преступного посягательства или средствами совершения преступления. С помощью следственного эксперимента может быть также проверена надежность средств защиты.

Назначение экспертиз. При расследовании компьютерных преступлений могут назначаться как традиционные трасологические экспертизы (например, по следам рук), почерковедческие (по записям, использовавшимся при подготовке компьютерного преступления), так и специфические. При наличии на компьютере звуковых и мультимедийных файлов возможно производство судебной фоноскопической экспертизы. Для определения размера, причиненного незаконными действиями, ущерба возможно назначение финансово-экономической экспертизы.

К числу специфических экспертиз при расследовании компьютерных преступлений можно отнести компьютерно-техническую экспертизу. Е.Р. Россинская обоснованно выделяет в классе компьютерно-технических экспертиз аппаратно-компьютерную экспертизу; программно-компьютерную экспертизу; информационно-компьютерную экспертизу (данных); компьютерно-сетевую экспертизу.

Аппаратно-компьютерная экспертиза предназначена для исследования аппаратных компьютерных средств, определения вида, типа, модели, технических показателей, параметров, функционального предназначения и функциональных возможностей конкретного компьютера в сети или системы, первоначального технического состояния и конфигурации аппаратного средства, а также состояния и конфигурации на момент исследования и т.д.

Программно-компьютерная экспертиза исследует программное обеспечение с целью определения: общей характеристики программного обеспечения и его компонентов, функционального предназначения программы, наименования, типа, версии и вида представления программы, реквизитов разработчика и законного владельца, даты создания, объема программы, аппаратных требований, совместимости программы с программными оболочками и иными программами на конкретном компьютере, работоспособности программы, алгоритма программного средства, программных средств, применяемых при разработке исследуемой программы, вносились ли в исследуемую программу изменения, время, цели, состав изменения, новые свойства, которые приобрела программа после изменений, и т.д.

Информационно-компьютерная экспертиза исследует пользовательскую информацию и информацию, созданную программами. В ходе информационно-компьютерной экспертизы определяются: вид записи данных на носителе, физическое и логическое размещение данных, свойства, характеристики, вид и параметры данных на носителе информации, тип данных на носителе, доступность данных, наличие средств защиты, признаков преодоления защиты, состояние данных, их свойства и назначение, данные о пользователе, содержание информации, ее первоначальное состояние, произведенные с данными операции (копирование, модификация, блокирование, стирание и т.д.) и хронология этих операций и т.д.

Компьютерно-сетевая экспертиза предназначена для изучения сетевых технологий и сетевой информации. Согласно Е.Р. Россинской, судебная экспертиза этого рода производится для решения таких задач, как: определение свойств и характеристик аппаратного средства и программного обеспечения, установление места, роли и функционального предназначения исследуемого объекта в сети; выявление свойств и характеристик вычислительной сети, установление ее архитектуры, конфигурации, выявление установленных сетевых компонент, организации доступа к данным; определение соответствия выявленных характеристик типовым для конкретного класса средств сетевой технологии, определение принадлежности средства к серверной или клиентской части приложений; определение фактического состояния и исправности сетевого средства, наличия физических дефектов, состояния системного журнала, компонент управлением доступа; установление первоначального состояния вычислительной сети в целом и каждого сетевого средства в отдельности, возможного места покупки (приобретения), уточнение изменений, внесенных в первоначальную конфигурацию; определение причин изменения свойств вычислительной сети (например, по организации уровней управления доступом), установление факта нарушения режимов эксплуатации сети, фактов (следов) использования внешних ("чужих") программ и т.п.; определение свойств и состояния вычислительной сети по ее отображению в информации носителей; определение структуры механизма и обстоятельства события в сети по его результатам; установление причинной связи между использованием конкретных аппаратно-программных средств вычислительной сети и результатами их применения.