Виртуальные следы в криминалистике

ВИРТУАЛЬНЫЕ СЛЕДЫ В КРИМИНАЛИСТИКЕ

А.Б. СМУШКИН

Смушкин Александр Борисович, доцент кафедры криминалистического  обеспечения расследования преступлений ФГБОУ ВПО "Саратовская государственная  юридическая академия", кандидат юридических наук, доцент.

Новые способы, объекты и средства совершения преступлений требуют своевременного реагирования со стороны ученых-криминалистов. Все чаще компьютерные и иные цифровые электронные устройства становятся средством совершения преступлений.

Подобные преступления оставляют специфическую следовую картину. Кроме непосредственно материальных или идеальных следов, следы действий остаются также в памяти электронных устройств. Поэтому некоторые авторы, основываясь на нововведениях научно-технического прогресса, предлагают дополнить классическую классификацию следов в трасологии в области дифференцирования их в зависимости от их внешнего отображения специфической группой виртуальных следов <1>.

--------------------------------

Это мнение заслуживает  внимания. Виртуальные следы представляют собой следы совершения любых действий (включения, создания, открывания, активации, внесения изменений, удаления) в информационном пространстве компьютерных и иных цифровых устройств, их систем и сетей. В. Мещеряков под виртуальными следами понимает "любое изменение состояния автоматизированной информационной системы, связанное с событием преступления и зафиксированное в виде компьютерной информации. Данные следы занимают условно промежуточную позицию между материальными и идеальными следами" <2>. Однако некоторые авторы возражают против применения термина "виртуальные следы", мотивируя свою позицию тем, что "понятие "виртуальный" - устоявшийся термин, применяющийся в квантовой теории поля для характеристики частиц, находящихся в промежуточном состоянии или в состоянии неопределенности (координаты которых и сам факт их существования в данный момент времени можно назвать лишь с определенной долей вероятности). В таком смысле будет понят термин "виртуальный след" любым человеком, знакомым с этим понятием" <3>. Не отрицая указанного значения этого термина, следует все же отметить, что, кроме специалистов-физиков, в основной массе большинство людей (в том числе ученых-криминалистов и практиков - работников правоохранительных органов) термин "виртуальный" применяют и понимают именно в отношении компьютерного, цифрового пространства. Именно в этом понимании используется термин "виртуальность" во многих сферах современной жизни.

Любые действия с компьютерными  или иными программируемыми устройствами (мобильные телефоны, МР3-плееры, iPhone, iPad и т.д.) получают свое непосредственное отражение в их памяти. Наиболее показательны в этом плане следы в памяти компьютера:

1) включение, выключение, различные операции с содержимым  памяти компьютера (отображаются  в журналах администрирования, журналах безопасности и т.д.);

2) действия с наиболее  важными для работы компьютера  программами (установка, удаление  и т.д.) отражаются в реестре  компьютера (reg-файлах);

3) сведения о работе  в сети Интернет, локальных и  иных сетях (аккумулируются в так называемых log-файлах);

4) операции с файлами  (отражаются в их свойствах;  например, у файлов Microsoft Office в свойствах  отражаются время создания, последнего  открытия, изменения файла и т.д.).

Виртуальные следы могут  послужить доказательствами незаконного  проникновения в память компьютера или иного устройства (взлома), доказательствами возможного совершения или планирования определенного преступления конкретным лицом или группой лиц (например, при наличии доступа к терминалу только у определенного лица или группы лиц). Они могут указывать на уровень компьютерной грамотности злоумышленника.

"Компьютерным" преступлениям  свойственна предварительная подготовка, написание или приобретение специальных  программ для взлома, подготовка и внедрение "троянских" программ, поиск паролей или определение способов беспарольного входа и т.д. При этом написание или тестирование подобных программ будет оставлять виртуальные следы в памяти компьютера злоумышленника.

Способ проникновения  в память компьютера или иного  устройства (подбор пароля простым  перебором или с помощью специальных  компьютерных программ, активизация "троянов", позволяющих считать пароли из памяти компьютера или включить беспарольный доступ), а также способ сокрытия следов оставляют следы в памяти компьютера жертвы.

Для всех этих действий могут  использоваться программы различного уровня сложности: "стандартные" - которые составлены максимально  просто и которые легко найти  в сети Интернет или подпольной продаже; "приспособленные" программы - переделанные самим злоумышленником; самостоятельно написанные злоумышленником программы.

В зависимости от сложности  и распространенности программ они  могут оставить в памяти устройства различные виртуальные следы, позволяющие идентифицировать программу, способ взлома и сокрытия. Обладая подобной информацией, можно сделать вывод о профессиональном уровне злоумышленника.

Определение круга лиц, имеющих доступ к компьютерному  устройству и достаточный уровень  профессионализма, ограничивает круг подозреваемых.

Каким же образом можно  фиксировать виртуальные следы  для использования в процессе расследования и доказывания? Фиксация виртуальных следов представляется разумной в следующем порядке:

1) описание в протоколе  следственного действия. В протоколе подлежат отражению следующие сведения: в памяти какого устройства обнаружены виртуальные следы; кому принадлежит устройство; имеет ли устройство выход в сеть Интернет, иные телекоммуникационные или локальные сети; какая оперативная система функционирует на устройстве (Windows XP, Wista, Linux - на компьютере, Windows mobile, Android, Symbian на мобильном телефоне, коммуникаторе и т.д.); в каких файлах обнаружены следы вмешательства, какие именно; когда файл был создан, изменен, открывался последний раз. Во избежание изучения каждого файла компьютера (количество файлов может измеряться сотнями тысяч) к проведению следственного действия необходимо привлекать специалиста (программиста, системного администратора и т.д.);

2) фотографирование экрана с выведенной информацией о свойствах исследуемых файлов, журналов администрирования, служб безопасности и т.д. Подвидом этого варианта фиксации можно назвать "снимок экрана" (клавиша "Print screen" клавиатуры) с его последующей распечаткой;

3) изъятие для исследования всего объекта с виртуальными следами.

Таким образом, представляется, что виртуальные следы могут  обоснованно занять место в классификации  следов, используемой в криминалистике.