Компьютерная
криминалистика

Хотите навсегда избавиться от нежелательной ссылки в результатах поиска Google? Наша профессиональная услуга по удалению ссылок поможет Вам очистить Вашу онлайн-репутацию и защитить личную информацию. Мы гарантируем полное удаление одной ссылки из поисковой системы Google, обеспечивая Вам спокойствие!

Предлагаем услугу по удалению ссылок из поисковой системы Яндекс. Это поможет Вам защитить свои личные данные и репутацию. Гарантируем полное удаление одной ссылки, обеспечивая Вашу конфиденциальность.

В современном мире, где интернет играет огромную роль в формировании личной и профессиональной репутации, нежелательная информация о Вас в сети может нанести значительный вред. Понимая это, мы предлагаем Вам нашу профессиональную услугу по удалению нежелательной информации из интернета. Наша цель — помочь Вам восстановить и защитить Вашу онлайн репутацию, обеспечивая конфиденциальность и эффективность на каждом шагу.

Сбор и анализ информации о любом человеке по Вашему запросу. Наша команда использует современные методы и технологии для получения достоверных данных из различных источников.

Расследование и анализ различных цифровых инцидентов. Поможем Вам выявить и устранить угрозы, а также собрать необходимые данные для решения ваших задач в киберпространстве.

Думал, твой дрон — это просто летающая камера для красивых кадров с высоты птичьего полета? Ошибаешься. Это летающий свидетель, который пишет досье на своего хозяина. Каждый его взлет, каждый маневр, каждый снятый кадр — это цифровая запись, которая не умеет лгать. И когда такой «свидетель» попадает не в те руки (или, скажем, в мои), он рассказывает удивительные истории.

Для контрабандистов, шпионов, сталкеров и прочих любителей нарушать закон дрон кажется идеальным инструментом: анонимным и дистанционным. Но это иллюзия. Для специалиста по форензике этот аппарат — открытая книга, написанная GPS-координатами и временными метками.

Что хранит в себе «черный ящик» дрона
Современный коммерческий дрон, особенно от гигантов вроде DJI, — это настоящий кладезь данных. Он собирает информацию не только о своем полете, но и о том, кто им управляет.

• Полетные логи. Это святой Грааль форензики дронов. Каждая секунда полета записывается: точные GPS-координаты, высота, скорость, направление движения, состояние батареи. Все это складывается в подробную карту маршрута. Часто логи хранятся и на самом дроне (на SD-карте или во внутренней памяти), и в приложении на смартфоне пилота.
• Точка «Дом» (Home Point). При взлете дрон записывает свои координаты как точку возврата. В 99% случаев это место, где стоит пилот. Забыл сменить эту точку вручную? Поздравляю, ты только что сдал свое местоположение с точностью до метра.
• Медиафайлы и метаданные. Фото и видео — самое очевидное. Но куда интереснее их метаданные (EXIF). В них зашиты не только время и GPS-координаты съемки, но и уникальный серийный номер дрона. Этот номер — как отпечаток пальца.
• Данные со смартфона/пульта. Приложение для управления дроном (вроде DJI GO) — это сокровищница. Оно кеширует полетные логи, видеопотоки, а главное — хранит данные аккаунта пилота: email, никнейм. Иногда даже его реальное имя и фото.
• Сетевая информация. Логи подключений к Wi-Fi сетям, MAC-адреса контроллера и смартфона. Все это помогает связать воедино всю цепочку: дрон — пульт — смартфон — владелец.
• Серийные номера. У дрона, пульта и даже у батарей есть уникальные серийные номера. По этим номерам через производителя (при наличии ордера, конечно) можно выйти на первоначального покупателя.

Как мы вычисляем пилота: от теории к практике
Представь, что мы нашли дрон, который шпионил за промышленным объектом. Как мы найдем его хозяина?
1. Физический анализ. Первым делом извлекаем SD-карту и внутреннюю память. Специализированный софт, например, от Cellebrite или MSAB, вытаскивает оттуда все: удаленные и целые фото, видео, полетные логи в формате .DAT или .TXT.
2. Анализ логов. Прогоняем логи через программы вроде CsvView или Airdata UAV. Мы видим весь маршрут, но самое главное — точку взлета. Часто этого уже достаточно. Выезжаем на место и ищем «пилота», который нервно оглядывается в поисках своей пропажи.
3. Крутим цепочку. Нашли серийный номер в метаданных фото. Отправляем запрос производителю. Получаем данные об аккаунте, к которому привязан дрон. Через email или никнейм начинаем старый добрый OSINT: ищем соцсети, форумы, доски объявлений. Очень часто пилоты хвастаются своими полетами на YouTube или в Instagram, используя тот же никнейм.
4. Смотрим видео. Самая частая ошибка дилетантов — они не прекращают запись вовремя. На последних кадрах видео часто можно увидеть самого пилота, его машину (с номерами!), его дом или просто уникальные приметы местности, где он приземлил дрон.

В итоге, казалось бы, анонимная операция превращается в полный провал. Каждый шаг пилота документируется и ждет своего часа.

Так что, когда в следующий раз запустишь свою «птичку» в небо, помни: она не только смотрит на мир, она смотрит и на тебя. И записывает. Всегда. И не думай, что кнопка «форматировать» тебя спасет. Удаленные данные — моя любимая часть работы.
Я серьезно.

Думаешь, твой геймпад — это просто кусок пластика для побега от реальности? Как мило. Эта маленькая коробка под твоим телевизором — самый честный свидетель, которого ты когда-либо встретишь. Она не врет, не забывает и уж точно не берет взяток. Она просто пишет. Пишет всё. И когда дело доходит до разбора полетов, будь то банальная бытовуха или что-то посерьезнее, именно PlayStation может рассказать историю, которую её владелец очень хотел бы оставить при себе.

Так что садись поудобнее. Сейчас я покажу тебе, как твое главное развлечение может стать твоим главным обвинителем.

Цифровой дневник, который ты не ведешь
Каждый раз, когда ты включаешь консоль, ты оставляешь след. Для обычного пользователя это просто данные, но для специалиста по форензике — это целая карта жизни человека. Вот лишь малая часть того, что хранит в своей памяти твоя верная игровая подруга:

• Личные данные. Твой PSN ID, настоящее имя (если ты был настолько неосторожен, чтобы его указать), адрес электронной почты. Это уже золотая жила для любого OSINT-исследования.
• Социальные связи. Список друзей, история переписок в чатах, записи голосовых сообщений. Кто твои «братья по оружию»? Может, и подельники? Анализ круга общения может быстро вывести на интересных личностей.
• Игровая активность. Во что играл, когда, как долго. Алиби на 3 часа ночи вторника? Консоль говорит, что ты в это время в сотый раз пытался пройти сложного босса. Снова и снова. Временные метки полученных трофеев — это железное доказательство твоей активности.
• Финансовые следы. История покупок в PS Store, данные привязанных банковских карт. Время и дата транзакции могут быть весьма красноречивы и помочь выстроить хронологию событий.
• Сетевые логи. IP-адреса, с которых осуществлялся вход, MAC-адрес консоли, история подключений к Wi-Fi сетям (включая их названия). Привет, геолокация. Мы вполне можем выяснить, где физически находилась консоль в определенный момент времени.
• Медиафайлы. Скриншоты и записанные видеоклипы. Иногда один случайный скриншот с внутриигровым чатом или никнеймом другого игрока может рассказать больше, чем долгий допрос.
• Веб-серфинг. Да, встроенный браузер тоже оставляет следы. Думал, никто не узнает, что ты гуглил «как незаметно избавиться от…»? Подумай еще раз.

Вскрываем черный ящик
Получить эти данные — не то же самое, что флешку вставить. Sony, мягко говоря, не в восторге, когда кто-то копается в их железе. Консоли защищены шифрованием и проприетарными файловыми системами. Но для упрямых парней из форензики это просто очередной интересный вызов, а не преграда.

Процесс обычно сводится к нескольким путям:

1. Физический дамп. Мы снимаем жесткий диск и создаем его полную побитовую копию. Это как снять слепок с места преступления, только в цифровом мире. Дальше начинается самое увлекательное — расшифровка и анализ этого хаоса данных с помощью специализированного софта.
2. Логический анализ. Если есть доступ к работающей консоли (и, хе-хе, паролю), можно извлечь данные через её интерфейс или специальные утилиты. Менее грязно, но и менее полно.
3. Анализ сети. Не стоит забывать и про сетевое оборудование. Роутер, к которому подключена консоль, тоже очень болтлив и может выдать всю историю её сетевой активности.

PlayStation в зале суда
Чтобы было понятнее, вот пара гипотетических сценок из жизни:

• Дело о «крепком сне». Подозреваемый клянётся, что в ночь совершения преступления спал как младенec. Его PlayStation 5 показывает, что он до 4 утра зарабатывал платиновый трофей в какой-нибудь Cyberpunk 2077. Неувязочка.
• Поиск сообщников. Группа лиц совершает правонарушение. Кто был с ними? Анализ голосового чата с консоли одного из них выводит на всю компанию, которая как раз обсуждала «веселые планы» на ту самую ночь.
• Разрушенное алиби. Человек утверждает, что был дома в другом городе. Логи IP-адресов его консоли показывают подключение из квартиры, расположенной по соседству с местом преступления. Game over.

Так что в следующий раз, когда будешь рубиться в онлайн-шутер, помни: твоя консоль — не просто игровой девайс. Это твой личный биограф, хронометрист и, потенциально, свидетель обвинения. Она знает о тебе больше, чем твоя мама, и у неё идеальная память.

И да, прежде чем ты побежишь форматировать свой HDD: всё, что здесь написано, — для общего развития. Попытки применить это самостоятельно — прямой путь к нарушению закона и, скорее всего, к превращению твоей дорогой консоли в бесполезный кирпич. Не делай так. Я серьезно.

Вы думали, что форензика — это только про изъятые ноутбуки из офисов и взломанные почтовые ящики? Какая наивность. Добро пожаловать в мир, где один неверный бит может остановить целый завод, обесточить город или превратить химкомбинат в локальный Чернобыль. Промышленные системы управления (ICS/SCADA) — это та самая критическая инфраструктура, о которой все говорят, когда упоминают кибервойны.

Сегодня я расскажу вам, как расследовать инциденты в мире, где Windows XP считается современной ОС, а “перезагрузка” может стоить миллионы долларов. Пристегнитесь — будет технично, страшно и местами абсурдно.

Представьте: 3 часа ночи, вас поднимают с кровати звонком от директора нефтеперерабатывающего завода. Голос дрожит. На заводе встала линия управления турбинами. Датчики показывают бред, задвижки не реагируют на команды, операторы в панике тыкают кнопки аварийной остановки. Убытки идут миллионами в час. Причина? Неизвестна. Может, отказ оборудования. А может, кто-то решил поиграть в Stuxnet 2.0.
Добро пожаловать в промышленную форензику. Здесь нет красивых GUI-интерфейсов. Здесь есть ржавые шкафы с контроллерами, проприетарные протоколы связи из 90-х и системные администраторы, которые боятся слова “обновление” больше, чем апокалипсиса.

Что такое ICS/SCADA и почему это страшно
ICS (Industrial Control Systems) — собирательный термин для всех систем управления промышленными процессами. SCADA (Supervisory Control and Data Acquisition) — подмножество ICS, отвечающее за диспетчерское управление и сбор данных. Проще говоря: это мозг завода, электростанции, водоканала или метрополитена.
Эти системы управляют:
• Физическими процессами (давление, температура, скорость)
• Оборудованием (насосы, задвижки, конвейеры)
• Безопасностью (аварийные остановы, защитные блокировки)

Страшно становится, когда понимаешь три вещи:
1. Многие из этих систем были спроектированы до эпохи интернета и никогда не предполагали подключения к внешним сетям. Концепция “безопасности” была примерно такой: “Если злоумышленник физически не может попасть в цех, то и взломать нечего”.
2. Обновление ПО на критическом оборудовании — сродни операции на открытом сердце. Любая ошибка может привести к простою производства, а простой стоит денег. Поэтому многие системы работают на Windows 2000, и никто не планирует их трогать “пока работает”.
3. Современные заводы подключены к корпоративным сетям для удаленного мониторинга и управления. И вот тут начинается веселье.

Особенности промышленной форензики
Если в классической форензике вы работаете с компьютерами и серверами, то здесь ваша песочница — это:
• ПЛК (программируемые логические контроллеры) — железные коробки, которые управляют физикой
• HMI (человеко-машинные интерфейсы) — экраны, на которых операторы видят картинку процесса
• Историаны (системы сбора данных) — базы данных с телеметрией за годы работы
• Инженерные станции — компьютеры, с которых программируются контроллеры
• Сетевое оборудование — коммутаторы, маршрутизаторы, часто без логирования

Основные проблемы:
Невозможность остановить систему для изъятия. Вы не можете просто выключить контроллер управления электростанцией и унести его в лабораторию. Завод должен работать. Форензика проводится “на живую”, что усложняет сохранение доказательной базы.
Проприетарные протоколы и форматы. Modbus, DNP3, Profinet, OPC — это не HTTP с JSON. Документация закрыта, анализаторы трафика из коробки не понимают половину команд, а логи (если они вообще есть) записываются в бинарных форматах.
Отсутствие логирования. Многие ПЛК не ведут подробных логов. Они созданы для управления, а не для аудита. Максимум что вы найдете — последние несколько событий в энергонезависимой памяти.
Временные метки — это квест. Синхронизация времени на промышленных устройствах часто отсутствует. Один контроллер думает, что сейчас 2019 год, другой — что 2025-й. Построить временную шкалу атаки — отдельное искусство.

Пошаговый план расследования
Итак, вас вызвали на завод. Что делать?
Изоляция и фиксация состояния. Первым делом — отключить пострадавшую систему от внешних сетей (если это возможно без остановки производства). Зафиксировать текущее состояние: снять образы памяти HMI-станций, сохранить конфигурации ПЛК, скопировать логи историанов. Работаем быстро — данные в оперативной памяти летучи.
Сбор сетевого трафика. Установите сниффер (тот же tcpdump или Wireshark) на зеркальном порту промышленной сети. Захватывайте весь трафик между ПЛК, HMI и инженерными станциями. Промышленные протоколы часто передаются в открытом виде — это ваш шанс увидеть, что творилось во время инцидента.
Анализ конфигураций ПЛК. С помощью инженерного ПО (Siemens Step 7, Rockwell Studio 5000, Schneider Unity Pro) скачайте текущую программу из контроллера и сравните её с эталонной версией. Если кто-то влез в логику — изменения будут видны. Ищите неавторизованные блоки кода, странные таймеры, подозрительные условия.
Логи, логи, логи. Соберите всё, что можно:
• Логи Windows с HMI-станций и инженерных компьютеров
• Логи SIEM, если система мониторинга безопасности установлена
• Исторические данные с SCADA-серверов (графики параметров до и во время инцидента)
• Логи межсетевых экранов и маршрутизаторов
Временная шкала атаки. Используя собранные данные, постройте последовательность событий. Когда начались аномалии? Какие команды отправлялись на ПЛК? Были ли изменения в конфигурации? Какие учетные записи использовались?
Поиск артефактов вредоноса. Если подозрение на целевую атаку — ищите специализированные зловреды (типа Industroyer, Triton, BlackEnergy). Проверяйте процессы, запланированные задачи, библиотеки DLL, автозагрузки. Промышленные вредоносы часто маскируются под легитимное ПО и используют штатные инструменты для управления ПЛК.
Инструментарий промышленного форензика
• Wireshark с плагинами для промышленных протоколов (Modbus, DNP3, S7comm)
• Volatility — для анализа дампов памяти Windows-систем
• ICS-specific tools: PLCinject, Metasploit с модулями для SCADA, S7-PCAP-Parser
• YARA-правила для поиска известных ICS-malware
• FTK Imager или dd для создания образов дисков инженерных станций
• NetworkMiner или Zeek для парсинга сетевого трафика и реконструкции файлов

Реальные кейсы
Stuxnet (2010). Классика жанра. Червь, созданный для атаки на иранскую ядерную программу. Проник через флешку, распространился по сети, нашел специфичные модели ПЛК Siemens, подменил их программу и заставил центрифуги вращаться с неправильной скоростью, пока не разрушились. При этом операторы видели на экранах нормальные показания — вредонос подменял данные.
Industroyer/CrashOverride (2016). Атака на энергосистему Украины. Зловред умел работать с протоколами IEC 60870-5-101/104, использовался для отключения подстанций. Результат — блэкаут в Киеве.
Triton (2017). Самый страшный. Атака на систему безопасности завода в Саудовской Аравии. Злоумышленники пытались отключить аварийную защиту, чтобы довести процесс до катастрофы. К счастью, вредонос сработал криво и вызвал аварийную остановку вместо взрыва.

Выводы циника
Промышленная форензика — это страшный мир, где ставки измеряются не в терабайтах утекших личных данных, а в человеческих жизнях. Где злоумышленник может не просто украсть информацию, а физически разрушить оборудование или вызвать экологическую катастрофу.
И самое печальное — большинство промышленных объектов к этому не готовы. Безопасность там всё ещё строится по принципу “у нас же изолированная сеть” (спойлер: давно не изолированная), а форензик-готовность равна нулю. Логи не пишутся, резервные копии конфигураций не делаются, мониторинг аномалий отсутствует.

Так что если вы работаете на заводе и читаете это — начните хотя бы с базового логирования и резервирования конфигураций ПЛК. А если вы форензик, который решил погрузиться в ICS-тематику — добро пожаловать в клуб. Тут не будет скучно. Обещаю.