Ing. Jiří Berger Číslo dle znaleckého deníku: 289/71/2010 Číslo spisu: KRPM 14652/TČ 2009 140070 Znalci doručeno dne 4. října 2010 Policie ČR Krajské ředitelství policie Olomouckého kraje Služba kriminální policie a vyšetřování Odbor obecné kriminality 751 52 Přerov, U Výstaviště 18 V Praze dne 26. října 2010 Výtisk číslo: 1/2 Počet listů: 5 Přílohy: 1 CD R DODATEK KE ZNALECKÉMU POSUDKU z oboru kybernetika odvětví výpočetní technika Já, níže podepsaný Ing. Jiří Berger, bytem Hálkova 181, Veltrusy, 277 46, okres Mělník, jako znalec specializovaný na znaleckou činnost v oboru Kybernetika výpočetní technika, specializace Výpočetní a komunikační technika, bezpečnost informačních systémů, vydávám dodatek ke znaleckému posudku zapsanému pod shora uvedeným číslem znaleckého deníku. 1 Úvod Doplnění znaleckého posudku na základě požadavků ze dne 2.10. a 7.10.2010 o vyjádření k následujícím bodům: 27. Na základě předchozího zkoumání počítače (ozn. ZALMAN) zjistěte, zda byla na Xchat.cz zahájena komunikace dne 8.11.2009 v době od 17:07 hod. do 21:40 hod., s jakými nicky a kdy. 28. Uveďte veškeré přijaté a odeslané zprávy z ICQ a SKYPE dne 8.11.2009 v době od 17:07 hod. do 21:40 hod. 29. Proveďte zkoumání předloženého DVD zálohy flash disku FLASH VOYAGER zejména podadresáře trodas (\zaloha\documents\trodas), zjistěte, zda se v adresáři nachází soubory obsahující záznam komunikace (např. chatování), uveďte o jakou komunikaci se jedná, s kým a v jakém čase (mělo by se jednat o soubory s příponou.php). 30. Uveďte další zjištěné skutečnosti, které mohou mít význam pro trestní řízení. 31. Na základě zjištění uvedených m.j. na str. 5, 6 znaleckého posudku č. 289/71/2010, že uživatel předloženého PC od 18:15 hod. dne 7.11.2009 aktivně vystupoval na fóru xchat.centrum.cz, v místnosti č. 5136824, nazvané Submise a dominance, kdy vedl hovor s několika uživateli: KRPM 14652/TČ 2009 140070 1
datum a čas přezdívka datum a čas přezdívka 7.11. 18:24:38 tva komteska 7.11. 18:33:51 beatk4 7.11. 18:45:33 dyduskaa 7.11. 18:57:18 terezka-a 7.11. 19:15:24 lucinka666 7.11. 19:34:19 fergie.ska 7.11. 19:59:24 martina1710 7.11. 20:35:48 yvik35 7.11. 20:42:50 lu na 7.11. 20:43:16 neposednazrzecka 7.11. 21:15:52 zuja 7.11. 21:20:56 theodor.a.adorno 7.11. 21:50:32 lucygirl 7.11. 22:02:19 male.zvire 7.11. 22:11:21 chytra jak radio 7.11. 22:32:24 renina 7.11. 23:02:20 maariquita 7.11. 23:55:44 apocalypta 8.11. 01:19:07 72radka72 8.11. 03:07:45 macinka86 Ověřte (cestou provozovatele portálu xchat.centrum.cz), pod jakými přezdívkami uživatel vystupoval při výše vypsané komunikaci. 32. Uveďte další zjištěné skutečnosti, které mohou mít význam pro trestní řízení. 2 Nález Dne 8.11.2009 je první přístup k webu ve večerních hodinách až v 19:44, dle systémového záznamu byl počítač spuštěn v 18:05. Předchozí přístup k webu je zaznamenán v 03:44 téhož dne. Poslední přístup k webu v zájmovém období (před 21:40) je zaznamenán ve 21:01 a následující pak až ve 22:53. Během tohoto období uživatel nepřistupoval na server Xchat.cz, nejvýznamnější je zde přístup k webovému rozhraní schránky elektronické pošty trodas@seznam.cz a přečtení několika zpráv. Od 20:20 tohoto dne uživatel také komunikoval v síti ICQ, jde celkem o 44 zpráv s uživateli Snip p (317654694), Tom as (103213624) a Terab Tereza Bar. (421316305). Příslušný záznam je uveden v příloze dodatku znaleckého posudku. Záznam byl rovněž srovnán se záznamem komunikace ze stránky http://snipp.eu/trodas.html (pravděpodobně patří zmíněnému uživateli Snip p ), kterou obviněný v dokumentech opatření k dodatku znaleckého posudku zmiňuje časy odeslání jednotlivých zpráv se shodují, což potvrzuje, že systémový čas počítače nebyl v zájmové době změněn. Síť Skype uživatel v zájmovém období nevyužíval. 2.1 Záznamy komunikace V adresáři \zaloha\documents\trodas na předloženém DVD médiu je umístěn archiv ax2.zip, ve kterém byly v podadresáři show nalezeny záznamy komunikace z Xchat.cz. Tyto záznamy jsou uvedeny v příloze dodatku znaleckého posudku. Záznamy neobsahují u zpráv datum, je zde uveden pouze čas. Je možné se orientovat pouze podle data vytvoření, resp. modifikace souboru. U všech souborů je zde uvedeno datum 7.5.2009, datum vytvoření celého archivu ax2.zip je pak 25.9.2009. Oba časy jsou tedy před zájmovým obdobím. Jiné záznamy rozhovorů, které by mohly být v dané věci relevantní, nebyly nalezeny. 2.2 Vystupování na Xchat.cz Na základě informací obsažených v historii webového prohlížeče uživatel vystupoval v celém zkoumaném období na serveru xchat.centrum.cz výhradně pod přezdívkou muc me (účet č. 11591270). KRPM 14652/TČ 2009 140070 2
Tento účet byl zaregistrován 30.12.2008 a naposledy se přihlásil 3.9.2009 v 00.22. Za toto období strávil komunikací celkem 543.25 hodin. Vedle toho byl také nalezen účet trodas (účet č. 5884965). Tuto přezdívku uživatel používal a sám se tak v dokumentech nalezených na zkoumaném osobním počítači označoval. Tento účet byl založen 15.7.2005 a naposledy se přihlásil 18.7.2010 ve 14.37. Za toto období strávil komunikací 3.69 hodiny. 2.3 Aktivita v zájmovém období Následující souhrn uvádí aktivitu uživatele zkoumaného osobního počítače za všechna zájmová období jak uvedená ve znaleckém posudku, tak v tomto dodatku. Jde o celé období od 18.15 dne 7.11.2009 do 00.36 dne 10.11.2009. datum a čas událost 7.11. 08.46 zapnutí počítače, uživatel se přihlásí na Xchat.cz (účet muc me ) 7.11. 18.15 začátek zájmového období, počítač je spuštěn, uživatel je přihlášen na Xchat.cz; uživatel je přítomen u počítače, účastní se rozhovorů, které jsou uvedeny v tabulce u otázky č. 31 7.11. 20.15 snížení aktivity, uživatel je však stále u počítače přítomen; do 20.35 navštíví např. youtube.com, trodas.wz.cz nebo email.seznam.cz v časech 20.23, 20.31, 20.32, 20.33 a 20.34 7.11. 20.35 uživatel se vrací na Xchat.cz, účastní se rozhovorů, které jsou uvedeny v tabulce u otázky č. 31 (v časech 20.42 a 20.43) 7.11. 21.15 obnovení aktivity, zejména na Xchat.cz 8.11. 01.19 poslední záznam komunikace začátek rozhovoru s uživatelem 72radka72 na Xchat.cz; jde o poslední záznam aktivity uživatele před 03.07 je možné, že nadále nebyl u počítače přítomen, není známo, kdy rozhovor s 72radka72 ukončil 8.11. 03.07 začátek rozhovoru s uživatelem macinka86 na Xchat.cz 8.11. 03.44 vypnutí počítače 8.11. 18.05 zapnutí počítače 8.11. 19.44 první zaznamenaná aktivita, prohlédnutí D:/Documents/HomePage/index.htm; do 21.01 pak navštěvuje např. novinky.cz, email.seznam.cz nebo youtube.com v časech 19.47, 19.49, 19.52, 19.54, 20.19, 20.20, 20.22, 20.23, 20.26, 20.29, 20.32, 20.47, 20.52 a 20.55 8.11. 21.01 ukončení aktivity, uživatel odchází od počítače 8.11. 22.53 obnovení aktivity, návštěva mapy.cz (hledání Malá tratidla, Přerov ) 8.11. 23.00 uživatel odchází od počítače 10.11. 00.12 vypnutí počítače 10.11. 00.36 konec zájmového období 10.11. 08.06 zapnutí počítače 10.11. 08.36 vypnutí počítače Náhodně vybrané časové údaje v celém tomto období byly také srovnány se záznamem provozu předaným společností Kabelová televize Přerov, a.s. Jednotlivé údaje si odpovídají a lze tedy rozhodnout, že uživatel neměnil systémový čas počítače a zjištěný čas návštěvy webových stránek odpovídá skutečnému času. Přístup uživatele k webovým stránkám je také uveden na grafu č. 1. Zde je vidět aktivní přístup do 03.44 dne 8.11.2009, poté web příliš nevyužíval a navštívil jej až ve večerních hodinách 8.11.2009. Zbytek zájmového období do 00.36 dne 10.11.2009 není v grafu uveden, uživatel k webu v této době KRPM 14652/TČ 2009 140070 3
vůbec nepřistupoval. 700 Přístup k webu v pětiminutových intervalech 600 500 požadavky 400 300 200 100 0 07.11. 16:00 07.11. 20:00 00:00 04:00 08:00 12:00 16:00 20:00 09.11. 00:00 Obrázek 1: Přístup k webovým stránkám za celé zájmové období. 3.1 Obsah přiloženého CD R média 3 Závěr CD R médium, které je přílohou dodatku ke znaleckému posudku, obsahuje další zjištěné informace a doplňuje obsah CD R média, které je přílohou znaleckého posudku. pc/ informace získané z předloženého osobního počítače icq 8 11 2009.html zajištěná ICQ komunikace v zájmovém období trodas.html záznam ICQ komunikace ze stránky http://snipp.eu/trodas.html www.csv výpis veškeré nalezené historie navštívených webových stránek www 8 11 2009.csv výpis navštívených webových stránek v zájmovém období provoz/ informace zjištěné z výpisu síťového provozu obdobi 8.txt výpis spojení v období 8.11.2009 17:07 až 21:40 grafy/ grafické zpracování provozu spojeni 7-8.11.png odchozí spojení 7.11.2009 18.15 až 8.11.2009 03.45 spojeni 8.11.png odchozí spojení 8.11.2009 17.07 až 21.40 spojeni 9-10.11.png odchozí spojení 9.11.2009 22.00 až 10.11.2009 00.36 www xchat 7-8.11.png návštěva serveru Xchat.cz 7.11.2009 18.15 až 8.11.2009 03.45 www 7-8.11.png navštívené webové stránky 7.11.2009 18.15 až 8.11.2009 03.45 www 8.11.png navštívené webové stránky 8.11.2009 17.07 až 21.40 usb/ data ze zálohy USB flash paměti dodané na DVD médiu data/ zajištěné zálohy komunikace z Xchat.cz dodatek.pdf dodatek ke znaleckému posudku ve formátu PDF posudek.pdf znalecký posudek ve formátu PDF KRPM 14652/TČ 2009 140070 4
Soubor www.csv obsahuje výpis navštívených webových stránek. Tento výpis je ve formátu CSV (oddělováno středníkem) a obsahuje sloupce: datum a čas přístupu ke stránce, cestu (URL). 3.2 Odpovědi 27. Na základě předchozího zkoumání počítače (ozn. ZALMAN) zjistěte, zda byla na Xchat.cz zahájena komunikace dne 8.11.2009 v době od 17:07 hod. do 21:40 hod., s jakými nicky a kdy. Odpověď: V uvedeném období uživatel vůbec nepřistupoval na server Xchat.cz. Je zaznamenána pouze aktivita v době od 19:44 do 21:01, mezi jinými také přihlášení k webovému rozhraní schránky elektronické pošty trodas@seznam.cz. 28. Uveďte veškeré přijaté a odeslané zprávy z ICQ a SKYPE dne 8.11.2009 v době od 17:07 hod. do 21:40 hod. Odpověď: V uvedeném období od 20:20 bylo vyměněno celkem 44 zpráv v síti ICQ, jejich výpis je uveden v příloze dodatku znaleckého posudku. Síť Skype uživatel v této době nevyužíval. 29. Proveďte zkoumání předloženého DVD zálohy flash disku FLASH VOYAGER zejména podadresáře trodas (\zaloha\documents\trodas), zjistěte, zda se v adresáři nachází soubory obsahující záznam komunikace (např. chatování), uveďte o jakou komunikaci se jedná, s kým a v jakém čase (mělo by se jednat o soubory s příponou.php). Odpověď: V uvedeném adresáři je umístěn archiv ax2.zip, ve kterém byly v podadresáři show nalezeny záznamy komunikace z Xchat.cz. V těchto záznamech je uveden pouze čas a nikoliv datum. Čas vytvoření souborů se záznamy je 7.5.2009, samotného archivu pak 25.9.2009, obojí tedy před zájmovým obdobím. Tyto záznamy jsou uvedeny v příloze dodatku znaleckého posudku. 30. Uveďte další zjištěné skutečnosti, které mohou mít význam pro trestní řízení. Odpověď: Nebyly zjištěny žádné další relevantní skutečnosti. 31. Na základě zjištění uvedených m.j. na str. 5, 6 znaleckého posudku č. 289/71/2010, že uživatel předloženého PC od 18:15 hod. dne 7.11.2009 aktivně vystupoval na fóru xchat.centrum.cz, v místnosti č. 5136824, nazvané Submise a dominance, kdy vedl hovor s několika uživateli. Ověřte (cestou provozovatele portálu xchat.centrum.cz), pod jakými přezdívkami uživatel vystupoval při výše vypsané komunikaci. Odpověď: Dle záznamů nalezených na zkoumaném pevném disku počítače uživatel v celém zájmovém období vystupoval pod přezdívkou muc me. Provozovatel portálu xchat.centrum.cz již nemá v současné době záznamy z roku 2009 k dispozici. 32. Uveďte další zjištěné skutečnosti, které mohou mít význam pro trestní řízení. Odpověď: Nebyly zjištěny žádné další relevantní skutečnosti. Zkoumání provedl a dodatek zpracoval: Ing. Jiří Berger soudní znalec v oboru kybernetika, odvětví výpočetní technika KRPM 14652/TČ 2009 140070 5