觸目驚心的計算機犯罪

文/沈臻懿

觸目驚心的計算機犯罪

Investigation and Evidence Collection of Computer Crime

文/沈臻懿

隨著現代科技的發展，計算機在步入日常生活的同時，涉及計算機與網絡的犯罪活動亦不斷呈現。與傳統犯罪相比，計算機犯罪所具有的顯著特點，給案件偵查與取證帶來了諸多挑戰。這就要求在計算機犯罪案件偵查中，必須運用專門的技術與手段，以有效應對這一違法犯罪活動。

據瑞典互聯網市場研究公司Royal Pingdom發布的研究報告顯示，2012年全球網民人數的總量已突破22億，較2007年的11.5億人增加了將近100%。從這一仍在不斷攀升的數據中我們不難發現，計算機及網絡科學技術已與人們的日常生活密切相關。在對于此類技術高度依賴的同時，涉及計算機及網絡的科學技術也悄然出現在犯罪活動中。作為現代科技的產物，計算機在一定程度上也成了犯罪手段、犯罪方式、犯罪工具、犯罪目標、犯罪證據以及儲存有關犯罪行為的信息庫。

與傳統犯罪相比，計算機犯罪所蘊含的科技性、隱蔽性以及犯罪后果的嚴峻性，給案件偵查與取證帶來了極大挑戰。面對刑事司法領域中犯罪活動高科技化的嚴峻現實，以及犯罪現場中形形色色的計算機證據與電子數據，偵查人員也必須依賴高科技的偵查與取證技術，應對日益頻發的計算機犯罪。

觸目驚心的計算機犯罪

據英國《每日電訊報》報道，2011年上半年，美國聯邦調查局曾破獲了一起全球性的計算機犯罪驚天要案。該案件的查獲，不僅使人們看到了全球在打擊計算機犯罪行動方面所取得的顯著勝利，更令人們真切感受到了計算機犯罪活動的觸目驚心。美國司法部證實，該案件的始作俑者系一伙大規模的網絡犯罪團伙，其利用惡意軟件控制了全球200多萬臺電子計算機，并利用上述受到病毒感染的計算機所組成的“僵尸網絡”，獲取了一億多美金的犯罪所得。

該案的犯罪手段與方法，無疑充滿著高科技的元素。犯罪人借助于“僵尸網絡”這一受到病毒感染的互聯網計算機群，通過遠程控制的方式發起大規模的網絡攻擊。譬如，向網站傳播惡意代碼，實施分布式拒絕服務(DDoS:Distributed Denial of Service)攻擊以及發送大批量垃圾郵件等。利用這一方式，犯罪人往往可以肆意竊取儲存于“染毒”計算機內的銀行賬號、密碼以及其他敏感信息，并利用網絡匯款和銀行詐騙等方式來盜竊資金。為此，該網絡犯罪團伙通過計算機專業技術，制造出了一款名叫Coreflood的惡意軟件，并利用美國微軟公司“視窗”操作系統的漏洞，成功入侵了全球233萬臺電子計算機，而美國本土就占到了其中的185萬臺。

經過一段時間的偵查與取證，調查人員成功摧毀了這一名為Coreflood的“僵尸網絡”，不僅部分切斷了感染病毒的計算機與主服務器之間的聯系，且關閉了上述網絡系統。據美國司法部與聯邦調查局的聯合聲明顯示，在該案的偵破過程中，調查人員查獲了5臺主控服務器與29個網絡域名，并逮捕了13名犯罪嫌疑人。雖然該案所造成經濟損失的確切數字仍未可知，但據相關安全專家估計，其被盜資金總數已超過1億美金。這一計算機犯罪的受害者中，一家位于田納西州的國防承包商損失了24萬美金，另一家位于密歇根州的房地產公司則損失了近12萬美金，而一家位于卡羅萊納州的律師事務所亦損失了8萬美金左右。

上述案例僅僅只是當前頻發的計算機犯罪活動中的一個典型縮影。從該案例中我們不難發現，為了應對計算機犯罪的高科技屬性，偵查人員也必然需要引入專門技術，對此類案件進行有效偵查與取證。

計算機犯罪活動的顯著特點

一提到計算機犯罪，人們往往首先想到的就是那些智商過人、行為隱蔽的犯罪人。與那些傳統犯罪相比，計算機犯罪的確可稱得上高科技、高智商犯罪的典型代表。由于計算機信息技術自身所蘊含的現代科技屬性，使得從事此類犯罪活動的作案人必然也需具備這方面的科學技術。因而，最初的計算機犯罪人往往主要集中于白領階層。上述人群擁有的較高教育背景，且最先頻繁接觸與使用計算機，由此滋生出了所謂的計算機犯罪。然而時至今日，隨著計算機的日益普及，這一現代科技的產物也被更多人群所認知，甚至部分犯罪人通過“自學成才”，掌握這一現代技術，并利用其實施犯罪活動。

除了具有高科技性這一特點外，計算機犯罪手段的隱蔽性同樣不容忽視。實施這一違法活動時，犯罪人往往采取了篡改程序、惡意代碼、錯誤指令等方式、手段。上述犯罪手段并不會對計算機硬件及信息載體造成物理性損害，且往往不留痕跡，這也令普通人難以察覺計算機內部所發生的一系列變化。犯罪人正是基于這一特性，“悄然無聲”地竊取被害人的機密信息、賬戶資金等。而計算機犯罪極具隱蔽性的特點，也使得執法部門在偵查過程中面臨著諸多困境。與傳統偵查活動不同的是，偵查人員在面對計算機犯罪時，往往需借助于現代科技手段，有時還需借助于專門的計算機專家來借助進行現場勘查與取證工作。

計算機網絡的無國界性，使得計算機網絡犯罪的空間跨度往往較大，涉及面也極廣。司法實踐中常常出現跨省、跨國、跨洲的大型計算機網絡犯罪活動。2011年年末時，歐洲各國警方曾聯合破獲了一起特大跨國兒童網絡色情案件。該案犯罪人利用計算機視頻技術，在網絡上肆意傳播各類加密的兒童性侵視頻。經過為期一年的偵查取證，由丹麥主導，法國、德國、奧地利、波蘭、比利時等多國參與的歐洲警方不僅破譯與分析了大量加密淫穢視頻，并在22個國家中成功抓獲了112名犯罪嫌疑人。

傳統犯罪所針對的對象，大多涉及人身安全與財產案件。而計算機犯罪的對象，則覆蓋了公共安全、經濟秩序乃至國家安全。毫不夸張地說，計算機犯罪能夠使個人隱私泄露、企業倒閉破產，甚至國家經濟癱瘓。其所造成的嚴重危害，遠非普通犯罪所能比擬。域外計算機犯罪專家曾坦言：“當前沒有任何一種犯罪，能夠像計算機犯罪那樣，不費吹灰之力就能得到巨額財產。”“莫里斯蠕蟲”案件可謂計算機發展史上最為出名的一起刑事犯罪活動。該案始作俑者莫里斯在1988年冬天時編寫了一個被稱之為“蠕蟲”的電腦病毒，并將其送入了互聯網。隨即，這一入侵者就立即進行自我復制，并在短短的時間內充斥了電腦內存，使得大批大批的計算機因感染病毒而“死亡”。該案不僅令成千上萬的數據資料毀于一旦，更直接造成了其上億美元的經濟損失！

有別于傳統案件的現場勘查

一提到犯罪現場，大部分人的第一反應往往是美劇CSI（犯罪現場調查）中那些橫尸野外、滿目狼藉的命案現場。與此類犯罪現場相似，犯罪人通過計算機及其網絡實施犯罪行為后，也會在一定空間內遺留相應證據。然而，計算機證據與傳統證據相比，往往更為復雜，如果未能通過專門方式妥善予以處理，極易使計算機證據發生變化或遭到不可逆轉的破壞。因此，偵查部門就需要依靠具有計算機證據收集、提取專門知識的勘查人員與技術專家，在計算機犯罪現場中開展勘查活動，從而確保所提取到的計算機證據能夠成功地在法庭上得以運用。

計算機犯罪的現場勘查，普遍均需進行計算機系統的操作，但為了不破壞原有系統，并獲得更多與犯罪有關的證據，一般都不會使用現場遺留的計算機系統、硬件與軟件。這就要求偵查人員在實施勘查活動前，除需備有常規勘查設備，如固定、記錄現場及物證所用的攝影設備、攝像設備外，還應準備專門的計算機信息系統勘查設備。在硬件配備方面，勘查人員應當備有便于搜集證據，且使用方便的便攜式電腦。此外，計算機取證勘查箱也是犯罪現場勘查中必備的專門設備，以用于對不同案件中的信息數據進行收集、取證。需要注意的是，技術人員在對計算機犯罪現場進行勘查時，應當自備電源插座與不間斷電源。否則一旦現場突然斷電并導致計算機關閉后，極易使得計算機內部的信息與運行程序消失或清除。特殊情況下，勘查人員還需備有專門的拆卸工具，以便能及時、妥善地將被調查的計算機及其相關設備帶回檢驗機構作進一步的分析與鑒定。

與傳統案件現場勘查不同的是，計算機犯罪現場勘查中還常常涉及各類系統軟件與應用程序。由于計算機類型的不同，其操作系統也存在著諸多差異。如微軟的Windows系列，蘋果的Mac OS X系列等。這就要求勘查人員除硬件設備外，還需備有各類軟件設備，以滿足不同計算機犯罪案件偵查的實際需求。此外，各類專業應用軟件在計算機犯罪案件的勘查與取證中，也往往占有極為重要的作用。譬如，利用EasyRecover數據恢復軟件可對磁盤中丟失、刪除、格式化的數據信息進行有效恢復；而NeoTracePro軟件，則可用以追蹤服務器的位置與IP位置。諸如此類的應用軟件，均是計算機犯罪案件偵查取證中不可或缺的重要手段與專門技術。

現代科技背景下的取證技術

計算機犯罪現場勘查的一大重點，即是從現場中收集與案件相關的證據材料。此類證據普遍以數字化形式存在，具有復雜性、隱蔽性、技術性等特點，其取證方法與傳統證據相比，存在著顯著的區別。因此，勘查人員在對計算機犯罪現場上所涉及的電子證據進行收集、固定時，必須采取相應的專門取證技術。偵查實踐中，常用的取證方法一般包括搜索技術、收集技術、恢復技術以及分析技術等專門手段。

計算機及其網絡空間內，均儲存著不計其數，且紛繁復雜的數據信息。此類材料中，往往只有極少一部分內容與案件事實相關。而計算機犯罪案件偵查取證的前提，則是如何收集此類與案件相關的證據材料。因此，偵查人員就需事先運用搜索或檢查等專門方法，以過濾計算機及網絡空間內無用的數據信息，進而確定與案件事實相關的證據材料。從理論層面而言，無論是人工方式還是計算機自動處理方式，均可用以數據信息搜索。然而在偵查實踐中，通過人工方法在虛擬空間中探尋證據材料的方式幾乎是完全不可想象的。一方面，案件偵查都必須在限定時間內予以完成；而另一方面，計算機證據往往需要借助于特定設備及載體才能為人們所認知。一項或多項合理運用的自動搜索技術，不僅能快速搜尋與定位及案件相關的信息，又不會過多地搜索出各類無關信息。可見，運用技術方法自動收集與案件相關的證據材料，已成為當前計算機犯罪偵查取證中必不可少的環節之一。

計算機證據的易失性、無形性、脆弱性、精確性等顯著特點，決定了其與物證、書證等傳統證據存在著諸多差異之處。因而，偵查人員及技術專家在收集此類證據時，所采用的方式、手段也必然與一般證據所不同。根據計算機證據易失性的特點，偵查取證實踐中常常會用到專門的易失性數據收集技術。此類易失性數據多指內容中儲存的數據以及某些更新較快的數據，通常包含了系統基本信息、系統狀態信息、網絡運行信息以及用戶使用信息等方面。具體操作時，則需登錄或遠程連接至被調查的計算機，并使用特定的工具軟件進行取證。除了易失性數據外，勘查人員如在犯罪現場上無法即刻判明某些數據與案件是否有關，或是否能對案件事實起到證明作用時，往往需要采取完全收集的辦法，以待于后續實驗室的進一步檢驗與分析。

偵查取證過程中，一旦遇到計算機內含的數據因損壞、刪除、格式化等行為而令系統無法讀取或反映此類數據時，就需運用到計算機恢復技術以還原或恢復此類數據。該技術通常包含了基于文件系統的數據恢復技術、基于文件特征的數據恢復技術、基于冗余信息的數據恢復技術、基于物理信號的數據恢復技術以及硬件恢復技術。目前，計算機取證中常用的數據恢復軟件包括ENCASE數據恢復軟件、EasyRecover數據恢復軟件以及FTK數據恢復軟件等。通過這一專門技術，可以有助于偵查人員收集、提取已被人為刪除或無法正常顯示的數據信息，從而獲取到各類有價值的證據材料。

經過搜索、收集、恢復等技術獲取的計算機數據信息，往往存在著與案件存在何種聯系，能否證明案件事實以及哪些事項可得到證明等問題。而這些問題的解答，很大程度上需要專門技術人員對其作出分析與鑒定后才能準確判定。這一分析技術活動，通常可由具有專門檢驗能力的人員進行。某些情形下，則需依據相關法律，實施計算機司法鑒定，并由具有相應資質的司法鑒定人進行鑒定。

由于計算機司法鑒定涵蓋的內容范圍極廣，其涉及的鑒定事項亦各有不同。根據鑒定內容的不同，又可進一步將其分為來源鑒定、內容鑒定、同一鑒定、相似性鑒定等主要事項。來源鑒定，即是根據計算機特定資源的唯一性，如計算機序列號、IP地址、MAC地址等，來確定設備或軟件的最初來源。該鑒定技術在計算機犯罪偵查中，主要可用以確定犯罪人所使用計算機設備的位置以及軟件的最初制作者等。內容鑒定，則是對文檔內容的真實性作出分析、判斷，并對儲存介質內隱藏的數據信息進行恢復并分析。同一鑒定，通常即是對兩份軟件或數據是否真實一致進行鑒定。具體而言，則是判明兩者的來源是否同一，內容是否一致。相似性鑒定，顧名思義，即是對兩份軟件的程序、源代碼等內容進行分析與比對，以確定兩者在實質層面是否相似……

編輯：黃靈 yeshzhwu@foxmail.com