❎ Экспертиза ноутбука для суда

❎ Введение в судебную аналитику. Приветствую, коллеги. Сегодня разберем тему, которая лежит на стыке цифровой криминалистики и системного администрирования. Речь пойдет о том, как проводится экспертиза ноутбука для суда с точки зрения технического специалиста. Мы не будем углубляться в юридические тонкости, а сконцентрируемся на железе, логических структурах, методах дампинга, караванинге и анализе артефактов. Если вы когда-либо сталкивались с задачей извлечь данные с ноутбука для предоставления в суд — эта статья для вас. Сразу предупреждаю: объем материала большой, информация сложная, но после прочтения вы будете понимать, как работает судебная экспертиза на уровне секторов и файловых систем.

❎ Объект исследования: что внутри ноутбука. Любая экспертиза ноутбука для суда начинается с оценки физического состояния устройства. Внутри ноутбука находятся:

материнская плата с процессором, чипсетом, контроллерами.
оперативная память (съемная или распаянная).
накопитель данных (жесткий диск или твердотельный накопитель).
аккумуляторная батарея.
дисплей с матрицей и подсветкой.
клавиатура и тачпад.
система охлаждения (кулер, радиатор, тепловые трубки).
беспроводные модули (Вай-Фай, Блютус).
порты и разъемы.

С точки зрения судебной экспертизы, наибольший интерес представляет накопитель данных, а также оперативная память (если удалось сохранить дамп). Именно там хранятся цифровые следы.

❎ Блокираторы записи и создание образа. Критическое правило: никогда не работайте с исходным накопителем напрямую. Перед началом экспертизы ноутбука для суда подключаем накопитель через аппаратный блокиратор записи. Это может быть:

Табло Френсик Бридж (классика, поддержка САТА, ЮСБ).
ВибеТек (еще один надежный вендор).
самодельные решения на основе контроллеров с отключенной командой записи.

После блокировки создаем посекторный образ в формате raw (дд) или Е01 (сжатый с метаданными). Образ обязательно хэшируем — МД5 и ША-1. Если хэши совпадают, значит, копия идентична оригиналу. Далее работаем только с образом. Оригинал опечатываем и сдаем в сейф. Это гарантирует, что ваша экспертиза ноутбука для суда будет признана допустимым доказательством.

❎ Анализ структуры низкого уровня. После создания образа начинается самое интересное. Экспертиза ноутбука для суда включает анализ следующих низкоуровневых структур:

главная загрузочная запись (МБР) — первый сектор, содержит таблицу разделов и загрузчик. Проверяем сигнатуру 0х55АА.
глобальная таблица разделов (ГПТ) — современный стандарт для накопителей более 2 Тбайт. Защитный МБР плюс массив записей разделов.
загрузочные сектора томов (Биос Параметр Блок) — содержат параметры файловой системы.
служебные области (Сервис Эриа) — скрытые зоны, куда производитель пишет адаптивы и прошивку.

Мы используем хекс-редакторы (ХексЭдитор, ВинХекс) и скрипты для разбора структур. Опытный специалист по одному дампу МБР может сказать, была ли попытка скрыть разделы.

❎ Файловые системы: как хранятся данные. Центральная часть любой экспертизы ноутбука для суда — разбор файловой системы. Наиболее распространены:

ЭнТиЭфЭс — стандарт для современных версий Виндовс. Ключевые элементы: главная таблица файлов (ЭмЭфТи), битмап, журнал $ЛогФайл, теневые копии. В ЭмЭфТи каждый файл представлен записью из атрибутов. Удаление файла в ЭнТиЭфЭс не стирает данные, а лишь помечает запись как свободную.
ФАТ32 / ексФАТ — простые структуры, таблица ФАТ хранит цепочки кластеров.
АПФС — для макОС. Структуры более сложные, есть снапшоты.

Наше учреждение работает со всеми перечисленными файловыми системами.

❎ Восстановление удаленных файлов (караванинг). Если метаданные файловой системы уничтожены, на помощь приходит метод караванинга. Суть: сканируем весь образ последовательно, ищем сигнатуры известных форматов. Типовые сигнатуры:

ПДФ — заголовок «%PDF», хвост «%%EOF».
ДжиПЕГ — начало 0хФФД8, конец 0хФФД9.
ПНГ — сигнатура 0х89504Е47.
ЗИП / ДОКС / ЭксЭлЭс — локальный заголовок 0х04034Б50.

Программа караванинга (Скальпель, Форемост, фоторек) вырезает блоки данных между сигнатурами и сохраняет их как файлы. В рамках экспертизы ноутбука для суда караванинг применяется, когда таблицы разделов или ЭмЭфТи разрушены полностью.

❎ Анализ временных меток (МАС-атрибуты). Каждый файл в файловой системе имеет набор временных атрибутов:

Modified — время последнего изменения содержимого.
Accessed — время последнего чтения.
Created — время создания файла.
Changed — время изменения метаданных.

В ЭнТиЭфЭс временные метки хранятся в атрибуте $СТАНДАРТ_ИНФОРМАЦИЯ и $ИМЯ_ФАЙЛА. Продвинутая экспертиза ноутбука для суда сравнивает эти два атрибута. Если они различаются — возможно, имело место подделка времени (таймстемпинг). Восстановление хронологии позволяет ответить на вопрос: был ли файл создан в указанный период или даты сфальсифицированы.

❎ Анализ реестра Виндовс. Реестр — это база данных, содержащая настройки системы и приложений. В ходе экспертизы ноутбука для суда исследуются следующие разделы:

ветка ЮСБСТОР: идентификаторы всех подключавшихся ЮСБ-устройств.
ветка РесентДокс в НТЮЗЕР.ДАТ: список недавно открытых документов.
ветка КомДлг32: история диалоговых окон.
ветка Руны: список выполненных команд.
ветка Шимкаче: записи о запущенных программах.

Анализ реестра требует применения парсеров (РегРиппер), так как кусты имеют бинарную структуру. Это золотая жила для эксперта.

❎ ЮСБ-артефакты и подключение внешних устройств. Задача выявить, подключали ли флешку к ноутбуку. В реестре Виндовс хранятся следующие ключи:

ХКЛМ\СИСТЕМ\ТекущийКонтролСет\Энум\ЮСБСТОР — содержит серийные номера и модели всех подключавшихся ЮСБ-накопителей.
ХКЛМ\СИСТЕМ\ТекущийКонтролСет\Контрол\ДевайсКлассес — следы подключения.
СетапАпи.лог — журнал установки драйверов.
записи в $ЛогФайл и $ЮснЖрнл о копировании файлов.

Помимо реестра, экспертиза ноутбука для суда анализирует файлы .ЛНК (ярлыки). Каждый ярлык хранит путь к исходному объекту, временную метку, серийный номер тома. Если найден ЛНК на файл, который лежал на флешке, значит, флешка точно подключалась.

❎ Анализ интернет-активности. Браузеры оставляют огромное количество следов. Даже если пользователь чистил историю, артефакты остаются в:

Кэш и Кэш_Дата — кэшированные копии страниц.
Куки — текстовые файлы с параметрами сессий.
Хистори (СКуЛайт базы) — хронология посещений, даже если удалена через интерфейс.
Донлоадс — список загруженных файлов.
Фавиконс — иконки сайтов.
Логин Дат — сохраненные пароли.

Парсинг этих файлов — стандартная задача. В ходе экспертизы ноутбука для суда восстанавливаются даты посещения конкретных ресурсов.

❎ Теневые копии и журналы восстановления. В Виндовс существует механизм теневого копирования. Система автоматически создает снапшоты состояния диска. В рамках экспертизы ноутбука для суда можно обратиться к предыдущим версиям файлов. Например, пользователь удалил документ в понедельник, а во вторник система создала теневую копию. Эксперт монтирует снапшот и восстанавливает удаленный файл. Доступ к теневым копиям осуществляется через утилиту вссадмин или программно через АПИ.

❎ Файл подкачки и хибе рфил.сис. Два важных артефакта:

пейджфайл.сис — файл подкачки, куда операционная система выгружает страницы памяти. Там могут оказаться фрагменты документов, пароли.
хибе рфил.сис — файл гибернации, дамп оперативной памяти при переходе в спящий режим.

Оба файла бинарны. Для их анализа используем утилиты типа Волатилити, а также строковый поиск и караванинг. Экспертиза ноутбука для суда высокого уровня всегда исследует пейджфайл и хибе рфил.

❎ Анализ журналов событий (евтх). Системные журналы Виндовс являются неотъемлемой частью экспертизы ноутбука для суда. Ключевые журналы:

Секьюрити (безопасность). События входа/выхода (ID 4624, 4625, 4647), доступа к объектам (ID 4663).
Систем (системные события). Запуск и остановка служб (ID 7036), ошибки дисков.
Аппликейшн (приложения). Запуск и сбои приложений.
Повешел. Журнал команд и скриптов.

Журналы евтх имеют бинарную структуру и анализируются с помощью специальных парсеров (ЕвтксЕкмд).

❎ Анализ Префетч и Шимкаче. Механизмы предвыборки данных Виндовс хранят информацию о запускаемых приложениях. Для экспертизы ноутбука для суда важны:

файлы Префетч (.пф) в папке Си:\Виндовс\Префетч. Содержат: имя исполняемого файла, путь, количество запусков, временные метки последнего запуска.
записи Шимкаче в реестре (AppCompatCache) — хранят информацию о выполненных файлах, включая те, которые были запущены с внешних носителей.

Анализ Префетч и Шимкаче позволяет установить, какие программы запускались и когда.

❎ Работа с твердотельными накопителями (ССД). Современные ноутбуки все чаще оснащаются твердотельными накопителями. Экспертиза ноутбука для суда с ССД имеет особенности. Команда ТРИМ может физически стирать удаленные данные. Контроллер ССД использует алгоритмы выравнивания износа. Эксперт подключает ССД через специализированный переходник, отключает команду ТРИМ (если возможно) и создает образ. Восстановление удаленных данных с ССД менее вероятно, чем с жесткого диска.

❎ Работа с ноутбуками MacBook. Для ноутбуков Эппл экспертиза ноутбука для суда имеет свои нюансы. Файловая система АПФС использует снапшоты. На MacBook может быть включено аппаратное шифрование ФайлВолт. Без пароля доступ к данным невозможен. Эксперт подключает накопитель в режиме Target Disk Mode или извлекает ССД и подключает через переходник. Используется специализированное ПО (МакКвизишн, БлэкЛайт).

❎ Работа с ноутбуками под управлением Линукс. Если ноутбук работает под управлением Линукс, экспертиза ноутбука для суда требует знания файловых систем ехт4, ИксЭфЭс. В ехт4 суперблок хранится по смещению 1024 байта. При удалении файла инод помечается как неиспользуемый. Журнал может содержать копии метаданных. Анализ логов Линукс (сислог, аус.лог, баш_хистори) позволяет восстановить действия пользователя.

❎ Досудебное исследование: цены и сроки. Если вам нужна экспертиза ноутбука для суда в досудебном порядке (для себя, чтобы понять перспективы дела), стоимость фиксирована. Без разбора устройства (только логический анализ) — 5 000 рублей. Если требуется вскрытие корпуса и сложные работы — от 10 000 до 15 000 рублей. Срок — от 3 до 10 рабочих дней. Вы получаете акт специалиста. Для судебной экспертизы стоимость определяется сметой. Все судебные издержки взыскиваются с проигравшей стороны через суд. То есть ваши затраты вернутся через несколько месяцев.

❎ Почему именно наше учреждение. Потому что мы — профи. У нас есть сертифицированная лаборатория, полный спектр оборудования, многолетний стаж. Мы не отказываемся от сложных случаев: залитые ноутбуки, разбитые экраны, сгоревшие платы. Мы даем гарантию: если эксперт ошибется (чего не бывает), проведем повторное исследование бесплатно. Мы ходим в суд и отстаиваем свои выводы. Никакая другая экспертная контора не предложит вам такого уровня. У нас быстро, недорого и вы будете счастливы.

❎ Ссылка на услугу нашего центра. Итак, если вам требуется качественная, честная и технически грамотная экспертиза ноутбука для суда — заказывайте у нас. Мы сделаем всё на высшем уровне. Присылайте ноутбук или привозите лично. Мы проведем диагностику, назовем цену и сроки. После выполнения вы получите исчерпывающий отчет. Обращайтесь, не откладывая: чем раньше начнем, тем выше шанс найти артефакты. Помните про возврат расходов через суд — по сути, экспертиза может оказаться бесплатной для победителя процесса. Ждем вас в нашей лаборатории. Работаем по всей стране.