Особенности расследования создания и распространения вредоносных программ.

К вредоносным программам для ЭВМ прежде всего относятся так называемые компьютерные вирусы, т.е. программы, могущие внедряться в чужие информационные ресурсы, размножаться и при определенных условиях повреждать компьютерные системы, хранящуюся в них информацию и программное обеспечение. Свое название они получили потому, что многие их свойства аналогичны свойствам природных вирусов. Компьютерный вирус может самовоспроизводиться во всех системах определенного типа. Некоторые из них сравнительно безопасны, поскольку не уничтожают информацию, однако большинство приносит существенный вред.
Основные задачи расследования решаются в такой последовательности:
1) установление факта и способа создания, использования и распространения вредоносной программы для ЭВМ;
2) установление лиц, виновных в названных деяниях, а также вреда, причиненного ими.
Установление факта и способа создания, использования и распространения вредоносной программы для ЭВМ. Такая программа обнаруживается, как правило, когда уже проявились вредные последствия ее действия. Однако она может быть выявлена и в процессе антивирусной проверки, производимой при начале работы на компьютере, особенно если предстоит использование чужих дискет или дисков.
Разработка вредоносных программ для ЭВМ обычно осуществляется одним из двух способов.
1. Вредоносная программа разрабатывается прямо на одном из рабочих мест компьютерной системы, что обычно маскируется под правомерную повседневную работу. В силу своих служебных обязанностей разработчик имеет доступ к системе и обрабатываемой в ней информации, в том числе нередко к кодам и паролям. Сокрытие преступного характера своих действий разработчик осуществляет путем удаления компрометирующих данных или хранения их на собственных дискетах.
2. Программа создается вне сферы обслуживания компьютерной системы, для воздействия на которую она ориентирована. Злоумышленнику необходимы сведения о функционирующей в системе информации, способах доступа к ней, методах ее защиты. Для получения этих данных он устанавливает связи с кем-либо из пользователей системы либо внедряется в нее посредством взлома.
На факт создания вредоносной программы могут косвенно указывать следующие обстоятельства:
а) повышенный интерес посторонних лиц к алгоритмам функционирования программ, работе системы блокировки и защиты, входной и выходной информации;
б) внезапный интерес к программированию лиц, в круг обязанностей которых оно не входит. Эти обстоятельства выявляются как в ходе оперативно-розыскных мероприятий, так и при производстве следственных действий, в частности допросов пользователей компьютерной системы, в которой обнаружились признаки действия вредоносной программы.

Проводя допросы свидетелей, необходимо выяснять, какая информация подвергалась вредоносному воздействию, ее назначение и содержание; как осуществляется доступ к ресурсам ЭВМ, их системе или сети, кодам, паролям и другим закрытым данным; как организованы противовирусная защита и учет пользователей компьютерной системы.

В ходе допросов свидетелей нужно иметь в виду, что практикуется множество способов использования и распространения вредоносных программ. Так, нередки случаи запуска программы с другого компьютера или с дискеты, купленной, одолженной, полученной в порядке обмена, либо с электронной "доски объявлений". Распространение вируса, вызывающего уничтожение и блокирование информации, сбои в работе ЭВМ или их системы, может происходить по компьютерной сети вследствие использования нелицензионной и несертифицированной программы (чаще игровой), купленной у случайного лица, а также скопированной у кого-либо.
Доказыванию фактов использования и распространения вредоносных программ способствует своевременное производство информационно-технологической экспертизы, посредством которой можно определить, какие изменения и когда внесены в исследуемые программы, а также последствия использования и распространения вредоносных программ. Экспертиза может также установить примененный преступником способ преодоления программной и аппаратной защиты (подбор ключей и паролей, отключение блокировки, использование специальных программных средств).
При установлении лиц, виновных в создании, использовании и распространении вредоносных программ для ЭВМ, необходимо учитывать, что такую программу может создать человек, обладающий специальными познаниями. Легче всего создать вирус опытному программисту, который, как правило, не участвует в их распространении.

Допрос обвиняемого преследует цель выяснить обстоятельства подготовки и совершения преступления, алгоритм функционирования вредоносной программы и то, на какую информацию и как она воздействует.
Для проверки возможности создания вредоносной программы определенным лицом, признавшимся в этом, проводится следственный эксперимент с использованием соответствующих средств компьютерной техники.

Наши рекомендации