DODATEK KE ZNALECKÉMU POSUDKU. 1 Úvod

Transkript

1 Ing. Jiří Berger Číslo dle znaleckého deníku: 289/71/2010 Číslo spisu: KRPM 14652/TČ Znalci doručeno dne 4. října 2010 Policie ČR Krajské ředitelství policie Olomouckého kraje Služba kriminální policie a vyšetřování Odbor obecné kriminality Přerov, U Výstaviště 18 V Praze dne 26. října 2010 Výtisk číslo: 1/2 Počet listů: 5 Přílohy: 1 CD R DODATEK KE ZNALECKÉMU POSUDKU z oboru kybernetika odvětví výpočetní technika Já, níže podepsaný Ing. Jiří Berger, bytem Hálkova 181, Veltrusy, , okres Mělník, jako znalec specializovaný na znaleckou činnost v oboru Kybernetika výpočetní technika, specializace Výpočetní a komunikační technika, bezpečnost informačních systémů, vydávám dodatek ke znaleckému posudku zapsanému pod shora uvedeným číslem znaleckého deníku. 1 Úvod Doplnění znaleckého posudku na základě požadavků ze dne a o vyjádření k následujícím bodům: 27. Na základě předchozího zkoumání počítače (ozn. ZALMAN) zjistěte, zda byla na Xchat.cz zahájena komunikace dne v době od 17:07 hod. do 21:40 hod., s jakými nicky a kdy. 28. Uveďte veškeré přijaté a odeslané zprávy z ICQ a SKYPE dne v době od 17:07 hod. do 21:40 hod. 29. Proveďte zkoumání předloženého DVD zálohy flash disku FLASH VOYAGER zejména podadresáře trodas (\zaloha\documents\trodas), zjistěte, zda se v adresáři nachází soubory obsahující záznam komunikace (např. chatování), uveďte o jakou komunikaci se jedná, s kým a v jakém čase (mělo by se jednat o soubory s příponou.php). 30. Uveďte další zjištěné skutečnosti, které mohou mít význam pro trestní řízení. 31. Na základě zjištění uvedených m.j. na str. 5, 6 znaleckého posudku č. 289/71/2010, že uživatel předloženého PC od 18:15 hod. dne aktivně vystupoval na fóru xchat.centrum.cz, v místnosti č , nazvané Submise a dominance, kdy vedl hovor s několika uživateli: KRPM 14652/TČ

2 datum a čas přezdívka datum a čas přezdívka :24:38 tva komteska :33:51 beatk :45:33 dyduskaa :57:18 terezka-a :15:24 lucinka :34:19 fergie.ska :59:24 martina :35:48 yvik :42:50 lu na :43:16 neposednazrzecka :15:52 zuja :20:56 theodor.a.adorno :50:32 lucygirl :02:19 male.zvire :11:21 chytra jak radio :32:24 renina :02:20 maariquita :55:44 apocalypta :19:07 72radka :07:45 macinka86 Ověřte (cestou provozovatele portálu xchat.centrum.cz), pod jakými přezdívkami uživatel vystupoval při výše vypsané komunikaci. 32. Uveďte další zjištěné skutečnosti, které mohou mít význam pro trestní řízení. 2 Nález Dne je první přístup k webu ve večerních hodinách až v 19:44, dle systémového záznamu byl počítač spuštěn v 18:05. Předchozí přístup k webu je zaznamenán v 03:44 téhož dne. Poslední přístup k webu v zájmovém období (před 21:40) je zaznamenán ve 21:01 a následující pak až ve 22:53. Během tohoto období uživatel nepřistupoval na server Xchat.cz, nejvýznamnější je zde přístup k webovému rozhraní schránky elektronické pošty trodas@seznam.cz a přečtení několika zpráv. Od 20:20 tohoto dne uživatel také komunikoval v síti ICQ, jde celkem o 44 zpráv s uživateli Snip p ( ), Tom as ( ) a Terab Tereza Bar. ( ). Příslušný záznam je uveden v příloze dodatku znaleckého posudku. Záznam byl rovněž srovnán se záznamem komunikace ze stránky (pravděpodobně patří zmíněnému uživateli Snip p ), kterou obviněný v dokumentech opatření k dodatku znaleckého posudku zmiňuje časy odeslání jednotlivých zpráv se shodují, což potvrzuje, že systémový čas počítače nebyl v zájmové době změněn. Síť Skype uživatel v zájmovém období nevyužíval. 2.1 Záznamy komunikace V adresáři \zaloha\documents\trodas na předloženém DVD médiu je umístěn archiv ax2.zip, ve kterém byly v podadresáři show nalezeny záznamy komunikace z Xchat.cz. Tyto záznamy jsou uvedeny v příloze dodatku znaleckého posudku. Záznamy neobsahují u zpráv datum, je zde uveden pouze čas. Je možné se orientovat pouze podle data vytvoření, resp. modifikace souboru. U všech souborů je zde uvedeno datum , datum vytvoření celého archivu ax2.zip je pak Oba časy jsou tedy před zájmovým obdobím. Jiné záznamy rozhovorů, které by mohly být v dané věci relevantní, nebyly nalezeny. 2.2 Vystupování na Xchat.cz Na základě informací obsažených v historii webového prohlížeče uživatel vystupoval v celém zkoumaném období na serveru xchat.centrum.cz výhradně pod přezdívkou muc me (účet č ). KRPM 14652/TČ

3 Tento účet byl zaregistrován a naposledy se přihlásil v Za toto období strávil komunikací celkem hodin. Vedle toho byl také nalezen účet trodas (účet č ). Tuto přezdívku uživatel používal a sám se tak v dokumentech nalezených na zkoumaném osobním počítači označoval. Tento účet byl založen a naposledy se přihlásil ve Za toto období strávil komunikací 3.69 hodiny. 2.3 Aktivita v zájmovém období Následující souhrn uvádí aktivitu uživatele zkoumaného osobního počítače za všechna zájmová období jak uvedená ve znaleckém posudku, tak v tomto dodatku. Jde o celé období od dne do dne datum a čas událost zapnutí počítače, uživatel se přihlásí na Xchat.cz (účet muc me ) začátek zájmového období, počítač je spuštěn, uživatel je přihlášen na Xchat.cz; uživatel je přítomen u počítače, účastní se rozhovorů, které jsou uvedeny v tabulce u otázky č snížení aktivity, uživatel je však stále u počítače přítomen; do navštíví např. youtube.com, trodas.wz.cz nebo .seznam.cz v časech 20.23, 20.31, 20.32, a uživatel se vrací na Xchat.cz, účastní se rozhovorů, které jsou uvedeny v tabulce u otázky č. 31 (v časech a 20.43) obnovení aktivity, zejména na Xchat.cz poslední záznam komunikace začátek rozhovoru s uživatelem 72radka72 na Xchat.cz; jde o poslední záznam aktivity uživatele před je možné, že nadále nebyl u počítače přítomen, není známo, kdy rozhovor s 72radka72 ukončil začátek rozhovoru s uživatelem macinka86 na Xchat.cz vypnutí počítače zapnutí počítače první zaznamenaná aktivita, prohlédnutí D:/Documents/HomePage/index.htm; do pak navštěvuje např. novinky.cz, .seznam.cz nebo youtube.com v časech 19.47, 19.49, 19.52, 19.54, 20.19, 20.20, 20.22, 20.23, 20.26, 20.29, 20.32, 20.47, a ukončení aktivity, uživatel odchází od počítače obnovení aktivity, návštěva mapy.cz (hledání Malá tratidla, Přerov ) uživatel odchází od počítače vypnutí počítače konec zájmového období zapnutí počítače vypnutí počítače Náhodně vybrané časové údaje v celém tomto období byly také srovnány se záznamem provozu předaným společností Kabelová televize Přerov, a.s. Jednotlivé údaje si odpovídají a lze tedy rozhodnout, že uživatel neměnil systémový čas počítače a zjištěný čas návštěvy webových stránek odpovídá skutečnému času. Přístup uživatele k webovým stránkám je také uveden na grafu č. 1. Zde je vidět aktivní přístup do dne , poté web příliš nevyužíval a navštívil jej až ve večerních hodinách Zbytek zájmového období do dne není v grafu uveden, uživatel k webu v této době KRPM 14652/TČ

4 vůbec nepřistupoval. 700 Přístup k webu v pětiminutových intervalech požadavky : :00 00:00 04:00 08:00 12:00 16:00 20: :00 Obrázek 1: Přístup k webovým stránkám za celé zájmové období. 3.1 Obsah přiloženého CD R média 3 Závěr CD R médium, které je přílohou dodatku ke znaleckému posudku, obsahuje další zjištěné informace a doplňuje obsah CD R média, které je přílohou znaleckého posudku. pc/ informace získané z předloženého osobního počítače icq html zajištěná ICQ komunikace v zájmovém období trodas.html záznam ICQ komunikace ze stránky výpis veškeré nalezené historie navštívených webových stránek www csv výpis navštívených webových stránek v zájmovém období provoz/ informace zjištěné z výpisu síťového provozu obdobi 8.txt výpis spojení v období :07 až 21:40 grafy/ grafické zpracování provozu spojeni png odchozí spojení až spojeni 8.11.png odchozí spojení až spojeni png odchozí spojení až www xchat png návštěva serveru Xchat.cz až www png navštívené webové stránky až www 8.11.png navštívené webové stránky až usb/ data ze zálohy USB flash paměti dodané na DVD médiu data/ zajištěné zálohy komunikace z Xchat.cz dodatek.pdf dodatek ke znaleckému posudku ve formátu PDF posudek.pdf znalecký posudek ve formátu PDF KRPM 14652/TČ

5 Soubor obsahuje výpis navštívených webových stránek. Tento výpis je ve formátu CSV (oddělováno středníkem) a obsahuje sloupce: datum a čas přístupu ke stránce, cestu (URL). 3.2 Odpovědi 27. Na základě předchozího zkoumání počítače (ozn. ZALMAN) zjistěte, zda byla na Xchat.cz zahájena komunikace dne v době od 17:07 hod. do 21:40 hod., s jakými nicky a kdy. Odpověď: V uvedeném období uživatel vůbec nepřistupoval na server Xchat.cz. Je zaznamenána pouze aktivita v době od 19:44 do 21:01, mezi jinými také přihlášení k webovému rozhraní schránky elektronické pošty trodas@seznam.cz. 28. Uveďte veškeré přijaté a odeslané zprávy z ICQ a SKYPE dne v době od 17:07 hod. do 21:40 hod. Odpověď: V uvedeném období od 20:20 bylo vyměněno celkem 44 zpráv v síti ICQ, jejich výpis je uveden v příloze dodatku znaleckého posudku. Síť Skype uživatel v této době nevyužíval. 29. Proveďte zkoumání předloženého DVD zálohy flash disku FLASH VOYAGER zejména podadresáře trodas (\zaloha\documents\trodas), zjistěte, zda se v adresáři nachází soubory obsahující záznam komunikace (např. chatování), uveďte o jakou komunikaci se jedná, s kým a v jakém čase (mělo by se jednat o soubory s příponou.php). Odpověď: V uvedeném adresáři je umístěn archiv ax2.zip, ve kterém byly v podadresáři show nalezeny záznamy komunikace z Xchat.cz. V těchto záznamech je uveden pouze čas a nikoliv datum. Čas vytvoření souborů se záznamy je , samotného archivu pak , obojí tedy před zájmovým obdobím. Tyto záznamy jsou uvedeny v příloze dodatku znaleckého posudku. 30. Uveďte další zjištěné skutečnosti, které mohou mít význam pro trestní řízení. Odpověď: Nebyly zjištěny žádné další relevantní skutečnosti. 31. Na základě zjištění uvedených m.j. na str. 5, 6 znaleckého posudku č. 289/71/2010, že uživatel předloženého PC od 18:15 hod. dne aktivně vystupoval na fóru xchat.centrum.cz, v místnosti č , nazvané Submise a dominance, kdy vedl hovor s několika uživateli. Ověřte (cestou provozovatele portálu xchat.centrum.cz), pod jakými přezdívkami uživatel vystupoval při výše vypsané komunikaci. Odpověď: Dle záznamů nalezených na zkoumaném pevném disku počítače uživatel v celém zájmovém období vystupoval pod přezdívkou muc me. Provozovatel portálu xchat.centrum.cz již nemá v současné době záznamy z roku 2009 k dispozici. 32. Uveďte další zjištěné skutečnosti, které mohou mít význam pro trestní řízení. Odpověď: Nebyly zjištěny žádné další relevantní skutečnosti. Zkoumání provedl a dodatek zpracoval: Ing. Jiří Berger soudní znalec v oboru kybernetika, odvětví výpočetní technika KRPM 14652/TČ