Использование специальных знаний при расследовании преступлений. Учебное пособие для студентов вузов, обучающихся по специальностям «Юриспруденция», «

достаточно, так как она может быть тщательно завуалирована либо удалена. В то же время в отличие от традиционных материальных следов «электронные» следы не имеют прямой привязки к конкретному лицу, и талант следователя заключается в тактически выверенном комплексе следственных действий, которые бы позволили соединить такой след с конкретным пользователем электронного устройства.

Полезную для следствия информацию часто можно получить с персонального компьютера, на котором работал подозреваемый или другой участник уголовного судопроизводства. Особенно использовалась сеть Интернет. В частности, в ходе изучения журналов браузеров (программ просмотра содержимого сайтов) перед экспертом открываются широкие возможности получения криминалистически значимой информации. Он может проследить последние поисковые запросы, переписку с помощью электронной почты, контакты в социальных сетях сети («Одноклассники», «ВКонтакте» и др.), общение и обмен мгновенными сообщениями (Twitter, Facebook, WhatsApp, Viber, Yahoo, Skype и др.), скрытые интересы пользователя и др.

Современные программные комплексы (Лис-М, Belkasoft и др.) позволяют специалистам вычислять не только поиск общих знакомых пользователей, выделять кластеры и метрики центра, но и вы- числять степень влияния различных пользователей в рамках группы социальной сети.

Часто преступники пользуются устройствами, оборудованными приемным и передающим модулями GPS/ГЛОНАСС (навигаторы, автомобильные регистраторы, телефоны и др.). В таких случаях целесообразно запросить в ОАО «Научно-исследовательский институт космического приборостроения РКС Роскосмоса» данные о месте и времени движения устройства (автомобиля) в интересуемый период времени.

Удачным примером опровержения алиби подозреваемого Ш. и раскрытия убийства безвестно пропавшей К. стало обследование карты памяти навигационного устройства, которым был оборудован автомобиль подозреваемого, который он взял напрокат в г. Москве. Навигатор был оборудован приемными и передающими модулями ГЛОНАСС. В связи с чем не составило труда определить место нахождения автомобиля в конкретное время в лесном массиве Тверской области, где в последующем и был обнаружен закопанным в земле труп К.

jТРПМЭИПГБОЙЖ ТРЖЧЙБМЭОЬЦ ИОБОЙК РСЙ СБТТМЖЕ. ПУЕЖМЭОЬЦ ГЙЕПГ ФВЙКТУГ 223

Получает распространение практика запросов в научный центр оперативного мониторинга Земли РКС Роскосмоса (Инженернотехнологический центр «СканЭкс», компания «Совзонд» и др.) для получения возможной фотофиксации интересуемого события со спутника. Такая возможность имеется только при условии, что следствие располагает данными о конкретных открытых и достаточно освещенных местах, где совершено или сокрыто преступление. Пространственное разрешение подобных снимков составляет более метра и на сегодняшний день позволяет распознать лишь крупные объекты (дома, транспортные средства, их цвет, модель). Другие идентификационные признаки (номера, лица людей и пр.) на таких снимках пока не различимы.

Так, с помощью полученных по запросу следователя МСО СУ по Республике Адыгея в Научный центр оперативного мониторинга Земли (НЦ ОМЗ РКС Роскосмоса) фотоснимков удалось доказать факты незаконного занятия предпринимательской деятельностью (ст. 171 УК РФ) и уклонения физического лица от уплаты налогов и сборов (ст. 198 УК РФ) гр-на К. Последний настаивал, что использовал арендованную территорию, огороженную бетонным забором, под хранилище строительных материалов, в то время как фото со спутника ясно фиксировали и подтверждали собранные доказательства незаконного использования территории под автостоянку. Причем следствию благодаря данным снимкам удалось под- считать максимальное количество автомобилей, парковавшихся ежедневно на нелегальной стоянке, что способствовало установлению конкретного ущерба и суммы неуплаченных налогов.

Огромное ориентирующее, а иногда и идентификационное зна- чение в раскрытии и расследовании преступлений имеет проверка систем видеонаблюдения, расположенных по возможному маршруту движения интересующего лица, а также фиксации всех автотранспортных средств, припаркованных у места преступного события. Это необходимо для последующей проверки возможной видеозаписи окружающей обстановки с помощью видеорегистраторов транспортных средств.

Отдельно стоит сказать об автомобильных блоках управления подушками безопасности (регистраторах EDRACU). Такие устройства сохраняют посекундно криминалистически значимые данные, поступающие на него в аварийном состоянии (резком торможении), перед столкновением (опрокидыванием) и непосредственно в процессе аварии. К таким параметрам относятся: скорость, обороты

двигателя, положение рычага переключения передач, степень нажатия педали тормоза (газа) и др.

Особо широкое распространение получил мобильные телефоны, смартфоны, планшетные устройства. Хранящаяся во внутренней памяти, SIM-картах, внешних картах памяти данных устройств информация имеет огромное криминалистическое значение.

Для извлечения данной информации используются: универсальное устройство извлечения судебной информации (UFED — Universal Forensic Extraction Device), мобильный криминалист, XRY, MOBILedit, Тарантула и др. Названные приборные средства позволяют работать практически с любой моделью мобильных устройств (в том числе поврежденными), планшетными компьютерами (независимо от используемой операционной системы), навигаторами, SIM-картами, картами памяти, а также Flash-накопителями.

Следственной практике известны случаи, когда обнаруженная при осмотре места происшествия SIM-карта может стать ценным доказательством причастности определенных лиц к преступлению. Ярким примером этому может служить расследование уголовного дела так называемых двенадцати «Орловских партизан».

Так, 5 августа 2010 г. после праздничного салюта, посвященного Дню города, прогремел взрыв в кафе «Индира», расположенного на окраине города Орла. На место происшествия незамедлительно выехала следственно-оперативная группа, при осмотре которого специалистом-взрывотехником были обнаружены поврежденные конструктивные части мобильного телефона, а также SIM-карта с незначительно оплавившейся лицевой стороной. В ходе предварительного исследования было установлено, что в кафе сработало замаскированное самодельное взрывное устройство, приведенное в действие при помощи детонатора, изготовленного из мобильного телефона, активировавшегося в результате поступления на него телефонного звонка или SMS-сообщения с другого телефонного аппарата.

После получения информации о входящих соединениях удалось выяснить, что на SIM-карту перед взрывом осуществлялся звонок с мобильного телефона гражданина Ж. В ходе проведения комплекса следственных действий и оперативно-розыскных мероприятий было установлено, что Ж. является исполнителем хорошо спланированного и организованного преступления.

В дальнейшем удалось задержать и доказать причастность к совершению данного преступления группы лиц, которые на протяжении двух лет совершали на территории Орловской области преступления экстремистского характера (в том числе поджоги опорных

jТРПМЭИПГБОЙЖ ТРЖЧЙБМЭОЬЦ ИОБОЙК РСЙ СБТТМЖЕ. ПУЕЖМЭОЬЦ ГЙЕПГ ФВЙКТУГ 225

пунктов милиции, прокуратуры Орловского и Железнодорожного районов г. Орла, Храма Святого Александра Невского и других организаций.

С помощью перечисленных и других средств извлекаются и систематизируются с построением структурированного отчета данные, как не подвергавшиеся какому-либо воздействию со стороны пользователей, так и скрывающиеся путем удаления из памяти электронных носителей.

Данные приборы предназначены для исследования подключенных и не подключенных к источникам энергоснабжения мобильных устройств, а также компактных носителей информации.

Исследование практики применения универсального устройства извлечения судебной информации (UFED), проведенное сотрудниками Академии Следственного комитета Российской Федерации, показало высокую эффективность использования данного устройства в получении интересующей следствие информации.

Например, в феврале 2014 г. в п. Рахинка Среднеахтубинского района Волгоградской области на улице обнаружен труп К. с открытой черепно-мозговой травмой. В области груди, в районе сердца имелась резаная рана. Установлено, что К. распивал спиртное в компании своих знакомых, ушел раньше всех. С учетом удовлетворительных характеристик знакомых К. первоначально была выдвинута версия о совершении нападения на К. ранее не знакомыми ему лицами. При осмотре специалистом в первые часы следствия с применением комплекса UFED сотовые телефоны знакомых К., на телефоне одного из них — М. обнаружены и восстановлены записи извлечения из тела К. сердца, его приготовление и употребление в пищу. Более того, обнаружена видеозапись, где М. запечатлен около обстрелянной автомашины жителей соседнего села Т. и Г., убийство которых оставалось нераскрытым.

С помощью данного комплекса в рамках следственного осмотра предмета с участием специалиста (ч. 2 ст. 176 УПК РФ) либо в процессе назначенной компьютерно-технической (информационноаналитической) экспертизы (ст. 195 УПК РФ) можно получить следующую информацию:

ξо телефоне (IMEI/ESN);

ξSIM-карте (ICCID è IMSI);

ξвызовах, в том числе удаленных (время, имена, фото);

ξоб использовании интернет-браузера;

ξо закладках интернет-сайтов;

ξфайлах Сookie;

ξзаписях телефонной книги;

ξSMS, MMS и голосовых сообщениях;

ξсообщениях чатов и электронной почты;

ξизображениях;

ξвидео- и аудиофайлах;

ξместоположении (сети WiFi, ретрансляторы мобильной связи и навигационные приложения), маршрутах перемещения (можно просматривать в Google Earth и Google Maps), GPSкоординат использования мобильного устройства;

ξвведенных в GPS устройства (навигаторы) местоположениях, координатах, избранных расположениях;

ξпаролях, журналах вызовов, текстовых сообщениях, контактах в электронной почте, мессенджерах, записях в календаре, медиафайлах, геотегах, приложениях, служебных данных (список IMSI, данные последней SIM-карты, коды блокировки);

ξданных журнала «Lifeblog», содержащего список действий с телефоном;

ξпереписке в различных социальных сетях («ВКонтакте», «Одноклассники», Twitter, Facebook), с помощью таких приложе-

íèé, êàê Skaip è äð.

Извлеченная из мобильного устройства информация может:

ξнапрямую изобличать лицо в совершении преступления (видео, фото совершенного преступления, СМС-сообщения о совершенном преступлении, например уведомление заказчика об убийстве, переписка, в которой лицо угрожает убийством, совершает вымогательство, предложение посредничества во взяточничестве, развратные действия, преступления экстремистского характера и др.);

ξкосвенно указывать на линию поведения лица, возможную причастность его к совершенному преступлению (закладки на порносайтах, пометки в календаре, соответствующие экстремистским взглядам видео и фото, переписка, опровержение алиби и т.д.);

ξспособствовать установлению иных обстоятельств, имеющих

значение для дела.

Мобильные устройства и другие носители электронных следов изымаются при производстве таких следственных действий, как:

ξосмотр места происшествия (ст. 176 УПК РФ);

ξосмотр трупа (ст. 178 УПК РФ);

ξобыск (ст. 182 УПК РФ);

jТРПМЭИПГБОЙЖ ТРЖЧЙБМЭОЬЦ ИОБОЙК РСЙ СБТТМЖЕ. ПУЕЖМЭОЬЦ ГЙЕПГ ФВЙКТУГ 227

ξвыемка (ст. 183 УПК РФ);

ξличный обыск подозреваемого, обвиняемого (ст. 93, 184

ÓÏÊ ÐÔ).

При проведении указанных следственных действий в зависимости от характера и способа совершенного преступления, условий следственной ситуации следует обращать внимание на место нахождения и возможного сокрытия мобильных устройств и в особенности извлекаемых из них накопителей (например, SIMкарт), а также на поведение субъектов, пытающихся воспользоваться мобильным устройством для оказания противодействия расследованию.

При осмотре места происшествия по уголовным делам о неоче- видных убийствах изымаются все мобильные устройства и SIMкарты, находящиеся при пострадавшем для установления, в частности, его последних контактов, идентификации неопознанного трупа. Кроме того, мобильные устройства возможно обнаружить в ходе осмотра не являющихся местом происшествия участков местности, жилища потерпевшего, иных помещений, где он находился перед смертью.

В случае задержания подозреваемого в убийстве производится его личный обыск; обнаруженные при этом мобильные устройства также изымаются. Кроме того, рекомендуется с этой же целью произвести обыски в местах его жизнедеятельности (учебы, работы, проживания и др.). Следует иметь в виду, что данные лица также могут принять меры к сокрытию или уничтожению мобильных устройств либо электронных накопителей (например, SIM-карт).

Обыск целесообразно проводить с применением соответствующих технических средств, позволяющих обнаружить мобильные устройства и электронные накопители в помещениях, автотранспорте, а также при досмотре людей, в частности нелинейных локаторов («Лорнет-36», «NR-2000», «Люкс», «ORION HGO-4000» и др.). Кроме того, возможно использование приборов по обнаружению мобильных средств, как находящихся в режиме регистрации, так и работающих на приеме-передаче голосового и текстового сообщений (например, прибор BVS WH и др.).

При производстве обыска или выемки электронные носители информации изымаются с участием специалиста (ч. 9.1 ст. 182, ч. 3.1 ст. 183 УПК РФ). В качестве специалиста в данном случае может приглашаться любое лицо, обладающее познаниями в области электронных устройств (консультанты специализированных магазинов, программисты).

Изъятые в ходе следственного действия мобильные устройства, планшетные компьютеры, навигаторы и иные носители электронных следов упаковываются и опечатываются таким образом, чтобы обеспечить сохранность имеющейся в цифровой памяти информации. Для этого опечатываются все порты, слоты, входы и выходы электронного устройства, что удостоверяется подписями следователя, специалиста и понятых.

Âсвязи с современными возможностями удаленного доступа к памяти мобильных устройств и находящихся в них электронных накопителей в целях блокировки собственниками устройств через операторов связи криминалистически важной информации необходимо сразу же при обнаружении устройства (смартфона) переводить его в авиарежим (авторежим) либо помещать его в специальный чехол, поставляемый в комплекте с UFED — «Мешок Фарадея», который блокирует доступ к устройству.

Âпротоколе обыска (выемки) должно быть указано, в каком месте и при каких обстоятельствах были обнаружены мобильные устройства, выданы они добровольно или изъяты принудительно. Все изымаемые устройства перечисляются с точным указанием их количества, индивидуальных признаков и стоимости. Если в ходе обыска были предприняты попытки уничтожить или спрятать мобильные устройства (стереть информацию, хранящуюся в их памяти), то об этом в протоколе делается соответствующая запись и указываются принятые меры. Также соответствующая запись делается

âслучаях, если по ходатайству законного владельца изымаемых электронных носителей информации, с разрешения следователя, осуществляется копирование информации.

Для исследования электронных следов используются специальные знания в форме получения заключения специалиста или проведения компьютерно-технической экспертизы.

На разрешение эксперту ставятся, как правило, вопросы общего диагностического характера о наличии в устройстве (включая внешние карты памяти и SIM-карты) каких-либо файлов (текстовых, графических, музыкальных, видео-, фотофайлов, СМС-сообщений и др.), и эксперт извлекает весь физический дамп памяти.

Если же следователя интересует какая-либо конкретная информация (к примеру, подозреваемый, свидетель либо потерпевший указывают на то, что развратные действия субъекта фотографировались, однако фото из телефона были удалены), то задаются соответствующие вопросы с указанием временного интервала удаления файлов.

jТРПМЭИПГБОЙЖ ТРЖЧЙБМЭОЬЦ ИОБОЙК РСЙ СБТТМЖЕ. ПУЕЖМЭОЬЦ ГЙЕПГ ФВЙКТУГ 229

Примерные вопросы судебной компьютерно-технической экспертизы мобильных телефонов.

1.К какому типу (марке, модели) относится мобильное устройство, его производитель, уникальный номер IMEI/ESN?

2.Каково фактическое состояние (исправен, неисправен) представленного телефона?

3.Каковы его технические характеристики и параметры телефона?

4.Имеется ли в телефоне какая-либо система защиты доступа к информации? Каковы возможности по ее преодолению?

5.Имеется ли в телефоне SIM-карта, каковы ее номера ICCID

èIMSI?

6.Имеются ли в телефоне внешние источники памяти? Если да то какие?

7.Имеется ли в памяти телефона или внешних источниках памяти информация о входящих и исходящих вызовах за период с 0.00 часов 1 апреля до 22.30 часов 2 апреля (в том числе удаленные)? Если да, то когда и с кем происходили соединения, их продолжительность и содержание SMS, MMS и голосовых сообщений.

9.Имеются ли в памяти телефона или внешних источниках памяти изображения, видео-, аудиофайлы, записки календаря, памятки (в том числе удаленные)?

10.Имеются ли на электронном носителе информации представленного телефона программы обмена сообщениями? Если да, то какие сообщения, когда и кем отправлены и приняты с помощью этих программ?

11.Имеются ли в файлах на электронном носителе информации представленного телефона сведения о посещении интернет-ресурсов (сайтов, форумов и т.д.) в период с 1 апреля по 2 апреля 2015 г.? Если да, то когда происходило посещение интернет-ресурсов, каких именно?

12.Имеются ли в файлах на электронном носителе информации представленного телефона сведения о местоположении данного устройства в период с 0.00 часов?

Для использования такой техники следователь готовит поруче- ние специалисту о производстве исследования мобильного устройства с помощью UFED, имеющему соответствующую квалификацию. Специалист производит исследование мобильного устройства с применением UFED с извлечением, декодированием значимой для дела информации.

По уголовному делу по обвинению Т. в убийстве Н. произведен осмотр мобильного телефона обвиняемого с применением комплекса UFED. При этом в памяти телефона обнаружены фотоснимки трупа Н., сделанные Т. непосредственно после убийства, а также восстановлено MMS, отправленное обвиняемым одному из своих знакомых. Т. осужден к длительному лишению свободы.

Извлеченные на отдельный компьютер или флэш-карту данные анализируются с помощью специальной программы UFED Physical Analyzer, которая позволяет создать подробный структурированный отчет с интересующей следствие информацией.

Полученный с использованием UFED и распечатанный отчет об извлеченных данных приобщается к материалам уголовного дела

âполном объеме. Электронное устройство и (или) иной носитель электронных следов на основании постановления следователя также приобщаются к материалам уголовного дела как вещественное доказательство, хранятся в опечатанном виде в условиях, исключающих возможность ознакомления с ними посторонних лиц и обеспе- чивающих их сохранность.

Âцелях подтверждения получения искомой информации именно с данного мобильного устройства с помощью UFED необходимо фиксировать всю процедуру получения информации с помощью видеоили фотосъемки, составлять фототаблицу, которую прилагать к заключению специалиста, эксперта или к протоколу осмотра,

âходе которого специалист применял указанный прибор.

Как показывает практика, использование возможностей операторов сотовой связи, а также тщательное изучение и анализ сведений, предоставленных компанией связи, особо важны при расследовании преступления, совершенного организованной группой или преступным сообществом (преступной организацией). Это иллюстрирует следующий пример.

Пограничным районным судом Приморского края осуждены братья Д. и др., которые в сентябре 2004 г. совершили нападение на граждан КНР. По делу установлено, что преступники пользовались мобильной связью до нападения, во время и после, а также использовали мобильные телефоны, похищенные у потерпевших, заменив SIM-карты.

Cуд, оценивая в приговоре квалификацию действий подсудимых по признаку совершенных организованной группой на основе