Что такое исследование функционала программы
Иногда спор идёт не о том, кто написал программу и сколько она стоит, а о том, что программа на самом деле делает. Собирает ли она данные скрытно? Есть ли недекларированные или вредоносные возможности? Как устроен её алгоритм и соответствует ли поведение заявленному назначению? Мы анализируем функционал и поведение программ и приложений в рамках судебной компьютерно-технической экспертизы (СКТЭ).
Ключевой принцип: эксперт описывает технические свойства и функционал программы — какие операции она выполняет, к каким данным обращается. Юридическую квалификацию программы как «вредоносной» даёт следствие и суд, а не эксперт.
Чем это отличается от экспертизы программного обеспечения: там решаются споры о разработке, исходном коде, качестве, авторстве и стоимости ПО. Здесь предмет — поведение и функционал: что и как программа делает.
Правовая основа: ст. 272–273 УК РФ и роль эксперта
Исследование функционала программ часто связано с делами о компьютерных преступлениях: ст. 272 УК РФ (неправомерный доступ), ст. 273 УК РФ (создание, использование и распространение вредоносных программ), ст. 274 УК РФ (нарушение правил эксплуатации).
Существенный нюанс: диспозиция ст. 273 УК построена на признаке заведомого предназначения программы для несанкционированных действий. Эксперт может установить и описать технические признаки такого функционала (скрытое копирование данных, обход средств защиты, самораспространение), но вывод о «вредоносности» как о составе преступления и о «заведомости» — прерогатива следствия и суда. Судебный эксперт предупреждается по ст. 307 УК РФ; заключение не имеет заранее установленной силы (ч. 5 ст. 71 АПК РФ).
Опишите задачу — оценим объём исследования и назовём условия.
В каких ситуациях назначают исследование
- уголовные дела по ст. 272-274 УК: установление признаков вредоносного функционала
- подозрение, что программа скрытно собирает или передаёт данные
- корпоративные споры о ПО, которое работает не так, как заявлено
- проверка приложений на скрытые функции перед внедрением
- инциденты ИБ: установление того, что делал обнаруженный образец
- споры о контрафактном или модифицированном ПО (см. определение признаков контрафакта)
Что именно исследуем в программе
- перечень функций и операций, которые выполняет программа
- наличие скрытого или недекларированного функционала
- признаки вредоносных возможностей: несанкционированный доступ, копирование, блокирование, обход защиты, самораспространение
- каналы сетевого взаимодействия: куда и какие данные передаются
- алгоритм и логику работы, обрабатываемые данные и форматы
- условия срабатывания скрытых веток (триггеры, «логические бомбы»)
- механизмы сокрытия (упаковка, обфускация, шифрование)
Вопросы, которые ставят перед экспертом
- Каково функциональное назначение программы, какие функции она выполняет?
- Имеется ли функционал, выполняемый без ведома и согласия пользователя (скрытый)?
- Имеются ли признаки несанкционированного доступа, копирования, блокирования, модификации информации?
- Имеются ли признаки функционала для нейтрализации или обхода средств защиты?
- Осуществляет ли программа передачу данных по сети, какие и по каким адресам?
- Каков алгоритм работы программы и какие данные она обрабатывает?
- Имеются ли средства сокрытия работы (обфускация, упаковка, шифрование)?
- При каких условиях активируется тот или иной функционал?
- Соответствует ли фактическое поведение программы её заявленному назначению?
- Имеются ли признаки внесения изменений в исходную версию (модификации)?
- Способна ли программа при запуске привести к несанкционированному уничтожению, блокированию, модификации или копированию информации?
- Каким образом программа устанавливается и закрепляется в системе?
Методы функционального анализа и декомпиляции
- Статический анализ — исследование без запуска: структура файла, строки, ресурсы, импортируемые функции, сигнатуры.
- Дизассемблирование и декомпиляция — восстановление логики из машинного/байт-кода для установления назначения и алгоритмов.
- Динамический анализ — контролируемый запуск в изолированной среде (песочнице/ВМ) с наблюдением за действиями: файлы, реестр, сеть, процессы.
- Анализ сетевого поведения — перехват и разбор трафика: адреса, протоколы, состав данных.
- Снятие упаковки и деобфускации — раскрытие скрытого кода перед анализом.
- Обеспечение безопасности — работа с копией образца в изолированном контуре, хэш-суммы, протокол.
Что нужно предоставить эксперту
- сам образец программы (исполняемый файл, пакет, приложение) — на изолированном носителе
- при наличии — исходный код, документацию, описание заявленного назначения
- сведения о том, где и как программа обнаружена, на какой системе работала
- определение суда, постановление следователя либо заявление заказчика; перечень вопросов
Стоимость и сроки
Стоимость исследования — от 50 000 ₽. Цена зависит от объёма и сложности кода, наличия упаковки/обфускации, необходимости полной декомпиляции и динамического анализа, платформы (Windows, Linux, Android, iOS) и срочности. Смету называем после предварительного осмотра образца.
Поможем корректно сформулировать вопросы эксперту и определим, какие методы анализа применимы к вашему образцу.
Частые вопросы
Вы напишете в заключении, что программа вредоносная?
Мы устанавливаем и описываем технические признаки функционала — например, скрытое копирование данных или обход средств защиты. Правовую квалификацию программы как «вредоносной» в смысле ст. 273 УК РФ даёт следствие и суд. Такое разграничение делает заключение корректным и устойчивым.
Можно ли исследовать программу без исходного кода?
Да. Для анализа функционала исходный код желателен, но не обязателен: применяем дизассемблирование, декомпиляцию и динамический анализ, которые позволяют восстановить логику и назначение по исполняемому файлу.
Чем это отличается от экспертизы ПО?
Экспертиза ПО решает споры о разработке, качестве, авторстве и стоимости программы и кода. Исследование программ отвечает на другой вопрос — что программа делает: её функции, скрытые возможности, поведение и алгоритмы.
Безопасно ли запускать подозрительную программу при исследовании?
Динамический анализ проводится только в изолированной среде (песочнице, ВМ) без доступа к рабочим системам и сети общего пользования. Образец обрабатывается как копия с фиксацией хэш-сумм, что исключает распространение.
Сможете определить, куда программа передаёт данные?
Как правило, да. В ходе динамического анализа фиксируем сетевую активность — адреса назначения, протоколы и, где технически возможно, состав данных. Полнота зависит от применяемого программой шифрования.
Примет ли суд заключение?
Заключение оформляется по требованиям процессуального законодательства, эксперт предупреждается по ст. 307 УК РФ. При этом оно не имеет заранее установленной силы (ч. 5 ст. 71 АПК РФ).