Специалист по компьютерным технологиям Игорь Михайлов рассказал суду по делу «Сети»* про электронные документы, которые были изъяты с ноутбука Ильи Шакурского и переносного винчестера Армана Сагынбаева. Следствие приобщило их к материалам уголовного дела как доказательства подготовки государственного переворота. Однако, как следует из пояснений независимого эксперта, ряд приобщенных документов был создан после задержания фигурантов. Причем они готовились и редактировались на компьютере, где пользователем указан некий shepelev. Этот никнейм совпадает с фамилией оперативника управления ФСБ по Пензенской области Вячеслава Шепелева, который сопровождал дело «Сети*».
Не вырубить топором
Электронные документы, в достоверности которых усомнилась защита, хранятся на компакт-диске в материалах уголовного дела. Просматривая их на компьютере, адвокат Оксана Маркеева обратила внимание на то, что один из файлов был создан 14 декабря 2017 года. К тому моменту фигуранты дела «Сети»* уже находились под стражей, а их электронные носители хранились в региональном управлении ФСБ.
Кроме того, компьютерная система говорила о том, что создателем большинства документов является пользователь с никнеймом shepelev.
— У меня возникли основания полагать, что в эти файлы были внесены какие-то изменения, — пояснила Оксана Маркеева на судебном заседании 16 октября.
Адвокат обратилась за разъяснениями в московскую компанию Belkasoft, которая разрабатывает программное обеспечение и пользуется авторитетом у российских и зарубежных криминалистов. Изучением представленных файлов занимался специалист по компьютерным технологиям Игорь Михайлов, за плечами которого 19 лет работы в экспертно-криминалистических центрах МВД и Следственного Комитета.
Игорь Михайлов был допрошен судом 16 октября и подтвердил сомнения адвокатов.
«Очень интересная аномалия»
Выступая в суде, Игорь Михайлов заявил, что на компакт-диске в материалах уголовного дела хранится как минимум три электронных файла, создателем которых является пользователь shepelev. При этом даты создания и редактирования указанных файлов также вызывают сомнения.
В частности, метаданные файла под названием «Положение» говорят о том, что его создали 17 декабря 2017 года, когда фигуранты «Сети»* находились в следственном изоляторе.
С другой стороны, последняя редакция файлов под названием «Восход» и «Съезд (2017)» осуществлялась 10 августа и 10 октября 2017 года, то есть до задержания фигурантов. Однако их создателем и автором последних исправлений указан все тот же shepelev.
По версии Игоря Михайлова, такие нестыковки могут быть связаны с тем, что файлы подготавливались и модифицировались на компьютере, где системное время не совпадает с реальным.
— Но для того, чтобы делать однозначные утверждения про дату создания [документов], нужно исследовать сам компьютер и его системные журналы, — уточнил специалист.
Он также обратил внимание на «очень интересную аномалию», которая была выявлена при исследовании электронного документа под названием «16+6». Здесь вовсе уничтожены данные об авторе, а также времени создания и последнего редактирования.
— Если во всех других файлах формата docx эта информация пробивается автоматически, то в данном файле она просто вырезана и заменена нулями, — пояснил Игорь Михайлов. — Скорее всего, это было сделано преднамеренно, потому что так не бывает.
Не те файлы
После допроса специалиста слово взял государственный обвинитель Сергей Семеренко. Он выдвинул версию, в соответствии с которой искажению могли подвергнуться как раз те файлы, что предоставили на изучение Игорю Михайлову. Чтобы развеять подозрения, защита настояла на проверке сведений с компакт-диска. Это сделали прямо в зале суда.
Изучение компакт-диска показало, что на нем хранятся те же самые файлы, которые исследовал Игорь Михайлов. Единственная нестыковка обнаружилась в электронном документе под названием «Восход». Метаданные говорят о том, что файл, хранящийся на компакт-диске в материалах дела, редактировался в течение семи минут. А файл, который изучался экспертом, — в течение шести минут.
— Все остальные показатели полностью совпадают, — констатировал Игорь Михайлов. — А вот отличие во времени правки очень странно.
Далее защита попросила включить ноутбук Toshiba, который принадлежит Илье Шакурскому и хранится в суде как вещественное доказательство. Таким образом Игорь Михайлов получил возможность проанализировать системные свойства оригиналов и сравнить их с теми, что имеются на компакт-диске в материалах уголовного дела.
В результате осмотра ноутбука выяснилось, что автором последних правок в документах «Восход» и «Съезд (2017)» является пользователь под никнеймом «Друг». Кроме того, время последнего редактирования документов в ноутбуке не совпало с тем, что указано на компакт-диске.
В частности, файл «Съезд (2017)» редактировался в ноутбуке Ильи Шакурского 30 октября 2017 года, в 19 часов 33 минуты. В этот момент его владелец уже находился под стражей, а сам ноутбук должен был быть опечатан.
Время последнего редактирования файла «Восход» разошлось на одну минуту. Не совпали и размеры файлов, которые хранятся в ноутбуке и на компакт-диске. Специалист также отметил, что пользователь ноутбука не является создателем файла «Съезд (2017)» — он его только редактировал.
— Человек получил этот файл откуда-то, — резюмировал Игорь Михайлов. — Надо обследовать данный компьютер более подробно, чтобы ответить на этот вопрос.
Файл «Положение», который, по версии обвинения, также должен храниться на ноутбуке Шакурского, обнаружить там не смогли.
Государственный обвинитель попросил у суда 15 минут, чтобы изучить документы и обнаружить в них путь этого файла. Суд объявил перерыв на 20 минут, однако даже в это время Сергей Семеренко не уложился. Он вернулся в зал судебных заседаний с опозданием и заявил, что не может назвать путь этого файла.
- Его нет и никогда не было на моем ноутбуке, — сказал Илья Шакурский. — Даже в протоколе осмотра не указано, что файл с таким названием изъят у меня.
Под давлением обстоятельств Сергей Семеренко согласился, что файла под названием «Положение» на ноутбуке Шакурского действительно нет.
Эксперт Игорь Михайлов. Фото: Евгений Малышев
«Похож очень сильно, но другой»
По версии Игоря Михайлова, выявленные противоречия могут говорить о том, что на компакт-диск с доказательствами копировали не файлы, а текст, который находился внутри них.
— Как мне видится, возможна ситуация следующая, — предположил эксперт. — Жесткий диск ноутбука подключили к какому-то компьютеру, где владельцем Word указан shepelev, открыли данный файл, выделили весь текст, скопировали и сохранили. Таким образом, это другой файл. Похож очень сильно, но другой.
По словам адвоката Оксаны Маркеевой, такие файлы имеют признаки недопустимых доказательств, а значит, не могут свидетельствовать о вине подсудимых.
Резюмируя свои показания, Игорь Михайлов порекомендовал суду провести полную компьютерно-техническую экспертизу ноутбука Шакурского и компьютера, на котором сотрудник ФСБ записывал компакт-диск.
— Сама структура [отдельного] файла не позволяет сказать, какие изменения вносились в него и в какой период, — уточнил Игорь Михайлов. — А вот в компьютере мы можем найти сохраненные промежуточные копии и частично восстановить картину того, как модифицировался данный файл с момента его создания.
Адвокаты и подсудимые поддержали эту рекомендацию.
По словам Сергея Моргунова, адвоката Ильи Шакурского, в ходе допроса специалиста выявлено, что изменения в ноутбук его подзащитного вносились после 18 октября 2017 года, то есть после ареста.
— Как они вносились? Кем? И почему? — задался вопросами Сергей Моргунов. — Мы этого не знаем и не установим без специальных исследований.
Адвокат Оксана Маркеева заявила, что вопросы для экспертов уже составлены, и просила назначить экспертизу в одном из учреждений Минюста.
Государственный обвинитель Сергей Семеренко против назначения экспертизы возражал. По его мнению, нет никаких доказательств, свидетельствующих о том, что в ноутбук Шакурского вносились какие-то изменения.
Адвокаты назвали эти слова несоответствующими действительности.
— Изменения имеются в ноутбуке! — настаивал Сергей Моргунов. — Это установлено и в ходе осмотра со специалистом ФСБ Ганиным, который принимал участие в первоначальном осмотре. Файлы были изменены и 12 декабря 2017 года, и 30 октября 2017 года, и 1 ноября 2017 года. То есть после того, как ноутбук был изъят. И это зафиксировано даже не на компакт-диске, а в ноутбуке.
— У нас есть большие вопросы по файлу «Восход», — поддержал своего коллегу Александр Федулов. — Кто его создал? И почему в вещественных доказательствах создателем этого файла фигурирует shepelev? Как он появился на компьютере Шакурского? Это можно узнать, только проведя судебную экспертизу.
Удалившись в совещательную комнату, суд принял решение отказать в удовлетворении ходатайства защитников о назначении компьютерно-технической экспертизы. При этом экспертное заключение Игоря Михайлова приобщили к материалам дела.
О террористическом сообществе «Сеть»* стало известно, когда в октябре 2017 года ФСБ возбудила уголовное дело.
В мае прокуратура огласила обвинительное заключение, подсудимые не признали свою вину и заявили, что дали признательные показания под пытками. Часть этих показаний впервые огласили 15 января 2019 года на открытом заседании в Пензенском областном суде. Ни одно уголовное дело по заявлениям о пытках фигурантов дела не возбуждено.
О давлении и пытках по делу «Сети»* заявляли родители и друзья подсудимых. Некоторые из них отказались от своих показаний, которые дали на следствии. Жены Пчелинцева и Куксова тоже заявляли суду о давлении ФСБ на их мужей. На заседании в Пензе 24 сентября о пытках заявила член петербургской ОНК Екатерина Косаревская, 3 октября суд приобщил к материалам дела заключения ОНК о пытках.
*«Сеть» — террористическая организация, запрещенная в России.