Глава 36. Методика расследования преступлений в сфере компьютерной информации

36.1. Криминалистическая характеристика преступлений в сфере компьютерной информации

Действующим Уголовным кодексом предусмотрена ответственность за неправомерный доступ к компьютерной информации (ст. 272 УК РФ), создание, использование и распространение вредоносных программ для ЭВМ (ст. 273 УК РФ), нарушения правил эксплуатации компьютерной техники (ст. 274 УК РФ).

Данные о способах совершения преступления. Способы преступных действий в сфере компьютерной информации дифференцируются в зависимости от состава совершаемого преступления. Исходя из того, что самым распространенным из предусмотренных главой 28 УК РФ преступлений является неправомерный доступ к компьютерной информации, рассмотрим способы его совершения.

Способы совершения названного преступления в зависимости от формы контакта с компьютерной техникой можно разделить на непосредственные, опосредованные и смешанные.

При реализации способов непосредственного доступа к информации происходит отдача соответствующих команд непосредственно с того компьютера, на котором находится информация. Разновидностью таких способов являются: а) проникновение в закрытые зоны и помещения, где производится обработка информации для совершения неправомерного доступа к ней; б) обследование рабочих мест программистов с целью поиска черновых записей; в) восстановление и просмотр стертых программ.

Вторая группа включает способы опосредованного (удаленного) доступа к компьютерной информации. При этом неправомерный доступ к определенному компьютеру и находящейся на нем информации осуществляется с другого компьютера, расположенного на определенном расстоянии, через компьютерные сети. Способы опосредованного доступа к компьютерной информации, в свою очередь, можно разделить на две подгруппы: а) способы преодоления парольной, а также иной программной или технической защиты и последующего подключения к чужой системе; б) способы перехвата информации.

К способам первой подгруппы относятся:

1. Проникновение в чужие информационные сети путем автоматического перебора абонентских номеров с последующим соединением с тем или иным компьютером.

2. Проникновение в компьютерную систему с использованием чужих паролей. Подбор паролей может осуществляться двумя методами. Первый: подбор паролей путем простого перебора всех возможных сочетаний символов до тех пор, пока не будет установлена нужная комбинация. Второй: «интеллектуальный» подбор паролей на основе имеющихся «словарей» наиболее распространенных паролей, систематизированных по определенным тематическим группам. Практика показывает, что данным методом вручную вскрываются более 40% паролей. При этом наиболее распространенными тематическими группами паролей являются следующие: имена, фамилии и производные от них (22%); последовательность клавиш компьютера, повтор символов (14%); даты рождения пользователя и его близких, а также их комбинации (12%); интересы, хобби (9,5%); адрес, место рождения (5%); номера телефонов или документов: паспортов, удостоверений личности и т. п. (3,5%).

3. Разновидностью способа получения пароля для последующего незаконного вхождения в компьютерную систему является так называемый «социальный инжениринг». При этом информация получается в процессе беседы (телефонной, посредством обмена электронными сообщениями) с пользователями системы. Данный способ широко применяется для получения данных (имя, пароль) с целью подключения к компьютерной сети Интернет за счет законных пользователей.

Ко второй подгруппе способов опосредованного доступа к компьютерной информации относятся способы ее непосредственного, электромагнитного и других видов перехвата. Непосредственный перехват путем непосредственного подключения к линиям связи законного пользователя и получения тем самым доступа к его системе.

Электромагнитный перехват осуществляется за счет перехвата излучений центрального процессора, дисплея, коммуникационных каналов, принтера и т.д. Его можно осуществить, находясь на достаточном удалении от объекта перехвата. К методам перехвата информации относится также аудиоперехват и видеооптический перехват.

Третью группу составляют смешанные способы, которые могут осуществляться как путем непосредственного, так и опосредованного (удаленного) доступа. К числу этих способов относятся:

а) тайное введение в чужую программу таких команд, которые помогают ей осуществить новые, незапланированные функции либо которые должны сработать при определенных условиях через какое-либо время, при одновременном сохранении прежней ее работоспособности – «троянский конь»;

б) осуществление доступа к базам данных и файлам законного пользователя путем нахождения слабых мест в системах защиты.

Способы и механизм создания, использования и распространения вредоносных программ для ЭВМ обладают определенной спецификой, которая определяется, прежде всего, особенностями вредоносных программ. В зависимости от способности самовоспроизводиться вредоносные программы подразделяются на самовоспроизводящиеся и несамовоспроизводящиеся. По способу действия вредоносные программы делятся на:

а) резидентные (при заражении (инфицировании) компьютера оставляют в оперативной памяти свою резидентную часть, которая потом перехватывает обращение операционной системы к объектам заражения (файлам, загрузочным секторам дисков и т. п.) и внедряется в них);

б) нерезидентные (не заражают память компьютера и являются активными только во время их непосредственной работы).

В зависимости от среды обитания вирусы подразделяются на: сетевые (распространяются по различным компьютерным сетям); файловые (внедряются главным образом в исполняемые модули программ, т.е. в файлы, имеющие расширения СОМ и ЕХЕ); загрузочные (внедряются в загрузочный сектор диска (Boot-сектор) или в сектор, содержащий программу загрузки системного диска (Master Boot Record); файлово-загрузочные (заражают как файлы, так и загрузочные сектора дисков).

По степени воздействия вирусы можно разделить на следующие виды:

– неопасные (не мешающие работе компьютера, но уменьшающие объем свободной оперативной памяти и памяти на дисках, действия таких вирусов проявляются в каких-либо графических или звуковых эффектах);

– опасные (которые могут привести к различным нарушениям в работе компьютера);

– очень опасные (воздействие которых может привести к потере программ, уничтожению данных, стиранию информации в системных областях диска).

По особенностям алгоритма вирусы можно классифицировать на:

Простейшие – паразитического характера, они изменяют содержимое файлов и секторов диска и могут быть достаточно легко обнаружены и уничтожены.

Вирусы-решикаторы, называемые червями, которые распространяются по компьютерным сетям, вычисляют адреса сетевых компьютеров и записывают по этим адресам свои копии.

Вирусы-невидимки, называемые стелс-вирусами, которые очень трудно обнаружить и обезвредить, так как они перехватывают обращения операционной системы к пораженным файлам и секторам дисков и подставляют вместо своего тела незараженные участки диска.

Наиболее трудно обнаружить вирусы-мутанты, содержащие алгоритмы шифровки-расшифровки, благодаря которым копии одного и того же вируса не имеют ни одной повторяющейся цепочки байтов.

Существуют и так называемые квазивирусные, или «троянские», программы, которые хотя и не способны к самораспространению, но очень опасны, так как, маскируясь под полезную программу, разрушают загрузочный сектор и файловую систему дисков.

Следует особо выделить «полиморфный вирус». Этот вид компьютерных вирусов представляется на сегодняшний день наиболее опасным. Они модифицируют свой код в зараженных программах таким образом, что два экземпляра одного и того же вируса могут не совпадать ни в одном бите.

Основными путями проникновения вирусов в компьютер являются съемные диски (гибкие и лазерные), флешки, а также компьютерные сети. Заражение жесткого диска вирусами может произойти при загрузке программы с дискеты, содержащей вирус. Такое заражение может быть и случайным, например, если дискету не извлекли из дисковода или вставили в дисковод зараженного компьютера и, например, прочитали ее оглавление.

При непосредственном доступе сокрытие следов сводится к воссозданию обстановки, предшествующей совершению преступления, т.е. уничтожению оставленных следов (следов пальцев рук, следов обуви, микрочастиц и пр.). При опосредованном доступе сокрытие заключается в самом способе совершения преступления, который затрудняет обнаружение неправомерного доступа. Это достигается применением чужих паролей, идентификационных средств доступа и т.д.

Сейчас широко распространено программное сокрытие следов, состоящее в указании ложных телефонных номеров, паролей и анкетных данных лица, совершающего неправомерный доступ. В то же время не теряет актуальности и сокрытие физических следов преступления (например, следов пальцев рук на клавиатуре, кнопках дисководов и других поверхностях, которых он касался).

Способы программного сокрытия следов неправомерного доступа к компьютерной информации в сети Интернет состоят в использовании:

1. Ремейлеров – компьютеров, получающих сообщения и переправляющих их по адресу, указанному отправителем. В процессе переадресации информация об отправителе уничтожается, и конечный получатель лишен возможности выяснить, кто автор сообщения.

2. Вымышленного электронного адреса отправителя в программах пересылки электронной почты.

3. Программ-анонимизаторов, позволяющих изменять данные об обратном адресе и службе электронной почты отправителя. При этом остается возможность установить электронный адрес компьютера отправителя.

4. Второго электронного почтового ящика. В сети Интернет существует множество сайтов, где свободно и бесплатно можно открыть свой почтовый ящик, откуда отправлять электронную почту под любыми вымышленными исходными данными.

Данные об орудиях и средствах совершения преступлений. Орудиями совершения преступлений в сфере компьютерной информации являются средства компьютерной техники, в том числе и специальное программное обеспечение. Следует различать средства непосредственного и опосредованного (удаленного) доступа.

К орудиям непосредственного доступа можно отнести, прежде всего, машинные носители информации, а также все средства преодоления защиты информации. Причем каждой категории средств защиты (организационно-тактических, программно-технических) соответствует свой набор орудий неправомерного доступа к компьютерной информации.

К орудиям опосредованного (удаленного) доступа относится, прежде всего, сетевое оборудование (при неправомерном доступе из локальных сетей), а также средства доступа в удаленные сети (средства телефонной связи, модем). При этом «взломщикам» необходимы соответствующие пароли и идентификационные номера законных пользователей.

Одним из орудий неправомерного доступа к компьютерной информации является сам компьютер. Этим в значительной степени объясняется и сложность расследования данного вида преступлений. Связано это с тем, что идентифицировать компьютер, с помощью которого был осуществлен неправомерный доступ, практически невозможно. Да и сам поиск такого компьютера может привести к разрушению ряда других программ и причинению крупного материального ущерба.

Другим распространенным средством совершения неправомерного доступа в последнее время стала глобальная мировая телекоммуникационная сеть Интернет. Необходимо отметить, что в современных условиях бурного развития средств вычислительной техники и периферийного оборудования орудия и средства совершения неправомерного доступа к компьютерной информации постоянно модернизируются и совершенствуются.

Кроме того, средствами совершения преступлений в сфере компьютерной информации являются: сетевое оборудование, телефонная сеть, машинные носители информации.

Данные о следах преступления. Следы неправомерного доступа к компьютерной информации в силу специфики рассматриваемого вида преступлений редко остаются в виде изменений внешней среды. Они в основном не рассматриваются современной трасологией, поскольку в большинстве случаев носят информационный характер, т.е. представляют собой те или иные изменения в компьютерной информации, имеющие форму ее уничтожения, модификации, копирования, блокирования. Таким образом, следы неправомерного доступа к компьютерной информации можно разделить на два вида: традиционные следы (следы-отображения, следы-вещества и следы-предметы) и нетрадиционные – информационные следы.

К первому типу относятся материальные следы. Ими могут являться какие-либо рукописные записи, распечатки и т.п., свидетельствующие о приготовлении и совершении преступления. Они могут остаться и на самой вычислительной технике (следы пальцев рук, микрочастицы на клавиатуре, дисководах, принтере и т.д.), а также на магнитных носителях и CD-ROM дисках.

Информационные следы образуются в результате воздействия в форме уничтожения, модификации, копирования, блокирования на компьютерную информацию. Они остаются на магнитных носителях информации и отражают изменения в хранящейся в них информации (по сравнению с исходным состоянием). Информационными следами являются также результаты работы антивирусных и тестовых программ. Данные следы могут быть выявлены при изучении компьютерного оборудования, рабочих записей программистов, протоколов работы антивирусных программ, программного обеспечения.

Информационные следы могут оставаться и при совершении преступления с использованием сети Интернет. Они возникают в силу того, что система, через которую производится доступ, обладает некоторой информацией, которую она запрашивает у лица, пытающегося соединиться с другим компьютером, в частности, система определяет электронный адрес, используемое программное обеспечение и его версию, адрес электронной почты, реальное имя и другие данные. Эту информацию запрашивает системный администратор для контроля обращений на его сервер, и это также позволяет идентифицировать личность проникающего в сеть.

Следами, указывающими на посторонний доступ к информации, могут являться: переименование каталогов и файлов; изменение размеров и содержимого файлов; изменение стандартных реквизитов файлов, даты и времени их создания; появление новых каталогов, файлов и пр.

На неправомерный доступ к компьютерной информации могут указывать и необычные проявления в работе ЭВМ, как то: замедленная или неправильная загрузка операционной системы; замедленная реакция машины на ввод с клавиатуры; замедленная работа машины с дисковыми накопителями при записи и считывании информации; неадекватная реакция ЭВМ на команды пользователя; появление на экране нестандартных символов, знаков и пр.

Данные о предмете преступного посягательства. Предметом преступного посягательства является компьютерная информация: сведения, знания или набор команд, предназначенные для использования в ЭВМ или управления ею.

Компьютерная информация, как разновидность криминалистической, имеет специфику:

а) как правило, очень объемна и быстро обрабатываема. Например, компьютер с процессором Pentium с жестким диском 1 гигабайт может хранить информацию, равную тысяче 500-страничных томов (неформатированного текста). Вместе с тем, современные компьютеры способны производить более 4 млрд. элементарных операций в секунду и оснащены жесткими дисками емкостью 500 гигабайт и более, что превышает 150 млн. страниц (неформатированного текста). Теоретическая скорость обмена компьютерной информацией между средствами компьютерной техники достигает 1000 мегабайт (примерно 36 тысяч страниц неформатированного текста) в секунду;

б) очень легко и, как правило, бесследно уничтожаема. Для уничтожения компьютерной информации, равной 500 страницам текста, необходимы два нажатия клавиши клавиатуры, – через секунду вся она будет стерта. В то время как для сжигания 500 страниц машинописного или рукописного текста необходимы специальные условия и значительный промежуток времени. Заметим, что при удалении отдельного файла физически он продолжает оставаться на носителе информации, удаляется только его имя из каталога. Физическое же удаление информации происходит при записи на его месте новой информации;

в) может находиться лишь на машинном носителе (дискете, магнитной ленте, лазерном диске, полупроводниковых схемах и др.), в самой ЭВМ (оперативной памяти), в их системе (оперативной памяти периферийных устройств) и их сети (буферная память устройств связи);

г) общедоступна, при условии, что гражданин овладел основными навыками общения со средствами визуализации и отсутствуют особые ограничения на доступ. Следует иметь в виду, что компьютерная информация, как никакая другая, может быть выведена из разряда общедоступных путем обычных, но многократно усиленных вычислительной мощью компьютеров методов парольной защиты, аутентичной верификации и шифрования (криптографии). В таком случае доступ к ней лицам, не знающим пароля, шифра или алгоритма защиты, блокируется практически намертво;

д) инвизуальна – позволяет без специальных средств и приспособлений в естественном виде наблюдать и анализировать себя. Средством инвизуализации является собственно компьютер, инструмент, не простой в обращении и требующий от человека, работающего с ним, определенных навыков;

е) обладает свойством, которое делает оригинал и копию одинаково ценными. Исходя из специфики компьютерной информации, особенностей природы, ее содержание не зависит от типа используемого материального носителя. Так, при копировании информации с дискеты на жесткий диск, с точки зрения содержания, файлы (оригинал и копия) будут тождественны. Идентичность копии и оригинала создают одинаковую ценность исходной информации и изготовленной с нее копии, вне зависимости от носителя, при условии использования одинакового конечного метода визуализации.

Исходя из того, что копия имеет ценность, эквивалентную ценности оригинала, необходимость в завладении собственно оригиналом отпадает. Достаточно лишь любым способом сделать копию. При этом факт копирования может быть никак не зафиксирован, поэтому и факт посягательства как бы отсутствует;

ж) создается, изменяется, копируется, применяется только с помощью ЭВМ. При наличии соответствующих периферийных устройств чтения машинных носителей информации (дисководы, устройства чтения лазерных дисков (CD-ROM), стримеры, устройства чтения цифровых видеодисков и др.). Компьютерная информация может быть перенесена на новый носитель с удалением на первоисточнике, а может быть скопирована и оставлена на первоисточнике. По содержанию полученная копия будет тождественна оригиналу. Число подобных копий может быть неограниченным;

з) легко передается по телекоммуникационным каналам связи компьютерных сетей. Можно передать большой объем информации практически на любое расстояние;

и) способна к сжатию и последующему восстановлению, то есть уменьшению объема при сохранении содержания. Это способствует не только ее передаче, по и эффективному хранению. Специальные программы (архиваторы WinRar, WinZip, Arj и др.) позволяют сжимать данную информацию в несколько раз. При разархивировании происходит ее восстановление в первоначальный вид без изменения содержимого;

к) доступна нескольким пользователям одновременно. К одному и тому же файлу, содержащему информацию, могут иметь доступ одновременно несколько пользователей.

Данные о свойствах личности преступников. Неправомерный доступ к компьютерной информации совершают следующие категории граждан:

а) состоящие в трудовых отношениях с предприятием, организацией, учреждением, фирмой или компанией, на котором совершено преступление (55%);

б) не состоящие в правоотношениях с предприятием, организацией, учреждением, фирмой или компанией, на котором совершено преступление (45%).

Особую категорию лиц, осуществляющих неправомерный доступ к компьютерной информации, составляют хакеры (от англ. to hack – рубить, кромсать) – специалисты в сфере вычислительной техники, осуществляющие негативные действия в области систем компьютерной связи, информационных технологий.

Выделяют три группы хакеров. К первой относят молодежь в возрасте 11-15 лет. В основном они совершают кражи через кредитные карточки и телефонные номера, «взламывая» коды и пароли больше из-за любознательности и самоутверждения. Обычно своими действиями они создают серьезные помехи в работе сетей и компьютеров. Ко второй группе отнесены лица в возрасте 16-25 лет. В основном это студенты, которые в целях повышения своего «познавательного» уровня устанавливают тесные отношения с хакерами других стран. К третьей группе – лица в возрасте 30-45 лет, которые умышленно совершают компьютерные преступления с целью получения материальной выгоды, а также ради уничтожения или повреждения компьютерных сетей. Наиболее опасные компьютерные преступления совершают лица в возрасте 25-35 лет, имеющие инженерное образование и продолжительный опыт работы в области информационных технологий, неправомерная деятельность которых практически никогда не бывает наказана.

Как правило, хакеры создают свои объединения (группы), издают свои электронные средства массовой информации (газеты, журналы, электронные доски объявлений и пр.), проводят электронные конференции, имеют свой жаргонный словарь, который распространяется с помощью компьютерных бюллетеней, где имеются все необходимые сведения для повышения мастерства начинающего хакера.

В настоящее время крупные компании стремятся привлечь наиболее опытных хакеров на работу с целью создания систем защиты информации и компьютерных систем.

Помимо профессиональных взломщиков компьютерных сетей и программ в число лиц, совершающих компьютерные преступления, входят лица:

– не обладающие серьезными познаниями в области программирования и компьютерной техники, имеющие лишь некоторые пользовательские навыки работы с ЭВМ;

– имеющие психические отклонения. К их числу относят лиц, страдающих различными компьютерными фобиями.