2. Исследование механизмов следообразования при различных способах копирования файлов.

При проведении судебного копирования информации с «горячего» компьютера, содержащего необходимые файловые доказательства, специалистам приходится делать это под управлением «штатной» операционной системы. Согласно строгим принципам УПК сбор доказательств должен производиться без оставления каких-либо следов, а если таковые остаются, они должны быть помечены и запротоколированы. Несмотря на то, что поиск и копирование требуется производить под управлением консольных утилит со сменного машинного носителя, сами утилиты обращаются с вызовами к функциям операционной среды. В результате поиск и копирование необходимой информации происходит с изменением файловых объектов и оставлением иных следов. Используя для слежения за файлами, процессами и реестром специальные мониторы, необходимо установить, какие именно следы остаются при различных видах поиска и копирования информации.

3. Разработка методики восстановления содержательной компьютерной информации из поврежденных файлов графического формата.

В экспертной практике иногда приходится исследовать память машинных носителей на предмет нахождения файлов графического формата, которые могут быть использованы в качестве юридических доказательств факта противоправного деяния. Такими доказательствами могут служить файлы, содержащие фотографические изображения разыскиваемых лиц, ценных бумаг и их реквизитов, печатей и др. В ряде случаев указанные файлы могут быть логически удалены или повреждены, и для эксперта бывают доступны только их отдельные фрагменты. В то же время сложный формат многих распространенных графических файлов не позволяет восстанавливать фрагменты изображения, находящиеся в сохранившейся части файлов. Предлагается разработать и автоматизировать методику криминалистического исследования и восстановления таких файлов.

4. Реализация полного доступа к заблокированной памяти полупроводниковых носителей компьютерной информации.

В связи с широким распространением полупроводниковых носителей типа Flash представляют интерес алгоритмы искажения отображаемого дискового пространства, реализованные на уровне контроллера устройства. Это может выглядеть так. При открытии логического диска пользователь видит единственный исполняемый файл небольших размеров, а остальное пространство кажется свободным. Причем похожую картину отображают все специализированные утилиты, работающие на базе ОС Windows и Linux. Запуск указанного файла сопровождается требованием введения пароля. Успешный ввод пароля сопровождается отображением истинных файлов и каталогов, размещенных в памяти устройства, в противном случае они остаются невидимы и недоступны. Встречаются и иные варианты. Некоторые недобросовестные фирмы (Китай) перепрограммируют служебные разделы полупроводниковой памяти таким образом, чтобы отображалась завышенная емкость носителя. Так, купив Flash-память объемом в несколько гигабайт, пользователь быстро убеждается, что в нее нельзя записать ничего более 128 Мб. Мошенникам помогает сервисный софт, имеющийся в открытом доступе. Подделки строились на тех контроллерах, утилиты для прошивки которых можно было найти в Интернете.

Необходимо решить задачу доступа к регистрам контроллера с целью отображения истинной информации.