一起网络诈骗案中的电子物证检验

别孳技　术　２０１６年第４ｌ卷Ｓｃｉｅｎｃｅ　ａｎｄ　Ｔｅｃｈｎｏｌｏｇｙ　第６期　ＤＯＩ：１０．１６４６７￣．１００８—３６５０．２０１６．０６．０１４　・技术与应用・　一起网络诈骗案中的电子物证检验　周翔　ｆ生产建设兵团，乌鲁木齐８３００（）０）　摘要：近年来，国内电信、网络诈骗案件频发，诈骗手法多变；其中犯罪分子冒充国家公、检、法机关工作　人员利用电话骗取受害人的信任，指使受害人登录指定网站、安装远程控制程序或木马，远：程操作受害人的计　算机，登录受害人的网银账户，盗取受害人资金的案件发案率较高。对此类案件的电子物证取证分析存在一定　的难度，鉴定过程中易将此类案件归为计算机植入木马类案件进行分析，分析过程中会涉及到程序的反编译、　程序代码的跟踪执行等多个检验环节，使案件分析变得复杂。本文报道一案例，在分析过程中首先采用动态仿　真模拟出受害人的计算机，然后利用时间线技术分析案发时的计算机操作行为，通过电子物征取证分析，还原　了案发时计算机的操作行为，为案件的侦查提供了有力支撑。最后本文就此类案件的电子物征取证分析方法进　行探讨。　关键词：电子物证；网络诈骗；动态仿真；时间线；远程控制软件　中图分类号：ＤＦ７９３．２文献标识码：Ａ文章编号：１００８—３６５０（２０１６）０６　０４９１—０３　Ｆｏｒｅｎｓｉｃ　Ａｎａｌｙｓｉｓ　ｏｎ　Ｃｏｌｌｅｃｔｉｎｇ　ｔｈｅ　Ｅｌｅｃｔｒｏｎｉｃ　Ｅｖｉｄｅｎｃｅ　ｆｒｏｍ　ａｎ　Ｉｎｔｅｒｎｅｔ　Ｆｒａｕｄ　Ｃａｓｅ　ＺＨＯＵ　Ｘｉａｎｇ　（Ｐｕｂｌｉｃ　Ｓｅｃｕｒｉｔｙ　Ｂｕｒｅａｕ　ｏｆＸｉｎｊｉａｎｇ　Ｐｒｏｄｕｃｔｉｏｎ　ａｎｄ　Ｃｏｎｓｔｒｕｃｔｉｏｎ　Ｃｏｒｐｓ，Ｕｒｕｍｑｉ　８３００００，Ｃｈｉｎａ）　ＡＢＳＴＲＡＣＴ：Ｔｈｅ　ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎ．ａｎｄ—ｉｎｔｅｒｎｅｔ　ｆｒａｕｄ　ｃａｓｅｓ　ｈａｖｅ　ｏｃｃｕ￣ｅｄ　ｆｒｅｑｕｅｎｔｌｙ　ｉｎ　ｒｅｃｅｎｔ　ｙｅａｒｓ．Ｏｆｆｅｎｄｅｒｓ　ｐｌａｙｅｄ　ｖＯｌａｔｉｌｅ　ａｎｄ　ｔｒｉｃｋｙ　ｓｗｉｎｄｌｅｓ　ｔｏ　ｒｅａｃｈ　ｔｈｅｉｒ　ｇｏａｌｓ．Ｓｏｍｅ　ｏｆ　ｔｈｅ　ｃｒｉｍｉｎａｌｓ　ｐｒｅｔｅｎｄｅｄ　ｔｏ　ｂｅ　ｔｈｅ　ｏｆｉｃｉａｌｆ　ｐｅｒｓｏｎｓ　ｏｆ　ｐｕｂｌｉｃ　ｓｅｃｕｒｉｔｙ，　ｐｒｏｃｕｒａｔｏｒａｔｅ　ａｎｄ　ｃｏｕｒｔ　ｔｏ　ｇｅｔ　ｔｒｕｓｔｅｄ　ｆｒｏｍ　ｔｈｅ　ｖｉｃｔｉｍｓ　ｗｈｏ　ｗｅｒｅ　ｔｈｅｎ　ｉｎｓｔｉｇａｔｅｄ　ｔｏ　ｌｏｇ　ｏｎｔｏ　ａ　ｓｐｅｃｉｉｃ　ｗｅｂｓｉｔｅ　ｗｈｅｒｅ　ａ　ｌｆｏｎｇ—　ｒａｎ２ｅ　ｃｏｎｔｒｏ１　ｐｒｏｇｒａｍ　ｏｒ　Ｔｒ￣ａｎ　ｗａｓ　ｔｏ　ｂｅ　ｉｎｔｒｏｄｕｃｅｄ　ｉｎｔｏ　ｔｈｅ　ｖｉｃｔｉｍｓ’ｃｏｍｐｕｔｅｒｓ．Ｔｈｕｓ，ｔｈｅ　ｖｉｃｔｉｍｓ’ｃｏｍｐｕｔｅｒｓ　ｗｅｒｅ　ａｂｌｅ　ｔＯ　ｂｅ　ｒｅｍＯｔｅｌｙ　ｏｐｅｒａｔｅｄ　ａｎｄ　ｔｈｅ　ａｃｃｏｕｎｔｓ　ｏｆ　ｔｈｅｓｅ　ｖｉｃｔｉｍｓ’Ｅ—ｂａｎｋ　ｂｅ　ｂｒｏｋｅｎ　ｉｎｔｏ，ｒｅｓｕｌｔｉｎｇ　ｉｎ　ｔｈｅｉｒ　ｍｏｎｅｙ　ｉｎ　ｔｈｅ　ｂａｎｋ　ｔｏ　ｂｅ　ｓｔｏｌｅｎ．Ｉｔ　ｉｓ　ｒｅａｌｌｙ　ｏｆ　ｃｅｒｔａｉｎ　ｄｉｉｃｕｌｆｔｙ　ｔｏ　ｃｏｎｄｕｃｔ　ｔｈｅ　ｆｏｒｅｎｓｉｃ　ｅｌｅｃｔｒｏｎｉｃ　ａｎａｌｙｓｉｓ　ａｂｏｕｔ　ｓｕｃｈ　ｃａｓｅｓ　ｂｅｃａｕｓｅ　ｔｈｅｙ　ａｒｅ　ｐｒｏｎｅ　ｔｏ　ｂｅ　ｃａｔｅｇｏｒｉｚｅｄ　ｉｎｔｏ　ｔｈｏｓｅ　ｉｍｐｌａｎｔｅｄ　Ｔｒｏｊａｎ　ｏｎｅｓ　ｄｕｒｉｎｇ　ｔｈｅ　ｐｒｏｃｅｓｓ　ｏｆ　ａｕｔｈｅｎｔｉｃａｔｉｏｎ　ｗｈｉｃｈ　ｗｉｌｌ　ｂｅ　ｉｎｖｏｌｖｅｄ　ｉｎｔｏ　ａ　ｐｒｏｇｒａｍ　ｄｅｃｏｍｐｉｌｉｎｇ，ｃｏｄｅ　ｔｒａｃｋｉｎｇ　ａｍｏｎｇ　ｔｈｅ　ｍｕｌｔｉｐｌｅ　ｔｅｓｔｅｄ　ｌｉｎｋｓ，ｔｈｅｒｅｂｙ　ｍａｋｉｎｇ　ｔｈｅ　ｃａｓｅ　ａｎａｌｙｓｉｓ　ｅｖｅｎ　ｍｏｒｅ　ｃｏｍｐｌｅｘ・Ｉｎ　ｔｈｅ　ｃａｓｅ　ｒｅｐｏ￣ｅｄ　ｈｅｒｅ，ｔｈｅ　ｄｙｎａｍｉｃ　ｓｉｍｕｌａｔｉｏｎ　ｗａｓ　ｒｅｃｒｕｉｔｅｄ　ｔｏ　ｉｍｉｔａｔｅ　ｔｈｅ　ｖｉｃｔｉｍ’Ｓ　ｃｏｍｐｕｔｅｒ，ａｎｄ　ｔｈｅｎ　ｔｈｅ　ｔｉｍｅ　ｓｅｑｕｅｎｃｅ　ｗａｓ　ａｎａｌｙｚｅｄ　ｏｆ　ｔｈｅ　ＥＥＧ　ｆｅｌｅｃｔｒｏｅｎｃｅｐｈａｌｏｇｒａｐｈｙ）ｏｐｅｒａｎｔ　ｂｅｈａｖｉｏｒ　ｉｎ　ｔｈｅ　ｃｏｕｒｓｅ　ｏｆ　ｃｒｉｍｅ．Ｗｉｔｈ　ｏｂｔａｉｎｍｅｎｔ　ｏｆ　ｔｈｅ　ｓｅｑｕｅｎｃｅ　ｏｆ　ｔｈｅ　ｅｖｅｎｔ　ｂｖ　ｔｈｅ　ａｂｏｖｅ　ｉｍｐｌｅｍｅｎｔａｔｉｏｎ，ｔｈｅ　ｋｅｙ　ｅｖｉｄｅｎｃｅ　ａｎｄ　ｃｌｕｅ　ｏｆ　ｔｈｅ　ｃａｓｅ　ｗｅｒｅ　ｄｕｇ　ｕｐ　ＳＯ　ｔｈａｔ　ｔｈｅ　ｃａｓｅ　ｗａｓ　ｔｒｕｌｙ　ｒｅｓｔｏｒｅｄ　ａｎｄ　ＳＯＩｖｅｄ・　ＫＥＹ　ＷＯＲＤＳ：ｅｌｅｃｔｒｏｎｉｃ　ｅｖｉｄｅｎｃｅ；ｎｅｔｗｏｒｋ　ｆｒａｕｄ；ｄｙｎａｍｉｃ　ｓｉｍｕｌａｔｉｏｎ；ｔｉｍｅ　ｓｅｑｕｅｎｃｅ；ｒｅｍｏｔｅ—ｃｏｎｔｒｏｌ　ｓｏｆｔｗａｒｅ　１案例　２０１５年８月生产建设兵团辖区发生一起特　员，利用电话称受害人王某的银　账户涉嫌洗钱，最　高人民已受理了案件，为帮助王某洗脱罪名，　需要王某提供个人或单位的网银、ｕ盾、银行卡账户　及密码，王某在不明的情况下，按照犯罪嫌疑人　大诈骗案，犯罪嫌疑人冒充最高人民工作人　作者简介：周翔（１９７４），男，重庆人，学士，工程师，研宄方向为电子物证。Ｅ—ｍａｉｌ：３７０２４８４０３＠ｑｑ．ｃｏｒｒｌ　・４９２・　再ＩＪ事技术ＦｏｒｅｎｓｉｃＳｃｉｅｎｃｅａｎｄ　Ｔｅｃｈｎｏｌｏｇｙ　２０１６年第４１卷第６期　的指令卸载了计算机上的杀毒软什，然后登录到指定　＝Ｆ某索取了ＩＤ和密码，从　远程控制了受害人的汁　算机通过埘Ｔｅａｍｖｉｅｗｅｒ的分析发现，该程序的远　控足Ｐ２Ｐ的彤式，　看ｌｏｇ日志只能看到与其连接的　ＩＤ，无法追溯到对　的ＩＰ地址　Ｊ　ＴｅｌｍＶｉ￣一一　网站，完成信息确认，敏使公司损失６００余万元人民　币，给公司利益造成重大损失　办案人员希望通过检　验分析受害人的计算机，从中获取相关电子物证线索　或证据　　一“　・－　一　２检验　以案件发　时间为主线，建立时Ｉ１ｊＪ分析模　…，　，是｜軎　证　｜ｌ聊　目遵Ｉ・ｐＩ∞ｌ　ｌ　许逸　｝宅制　ｌ　污　蛙　下　ｌＤ｛ｃ　西ｉ　制ｉＪ　Ｉｌ程　｝斡帆　ｘｌｌ￣＾　控■９　ｒ　．　Ｃ盏》　１２３　７‘ｎ　１８１　。　ｌｆ…ｊ　Ｓａｆｅａｎａｌｙｚｅｒ取证分析软什和动态仿真技术　】，　Ｄ　ｗｔ　ｖ　上件惜嫡　－综合检验犯罪嫌疑人使，ｔｔｊ的计算机硬盘，重点还原发　案ｆＩ寸计僻：机上的操作行为　２．１　利用动态仿真还原作案过程　为还原作案过程，将涉案汁算机的硬盘接入到　融石计算机仿真取证系统（ＳａｆｅＶＭ　Ｐｒｏ）模拟ｊＩｌ涉　案汁算机　在虚拟机环境下进，彳启动，以系统ＪＨ户　图２　“ｔｅａｍｖｉｅｗｅｒ”软件截图　Ｆｉｇ．２　Ｔｈｅ　ｓｃｒｅｅｎｓｈｏｔ　Ｏｎ’’ＴｅａｍＶｉｅｗｅｒ”ｓｏｆｔｗａｒｅ　ｒｕｎｎｉｎｇ　２．２利用时间线分析技术获取证据　的角度血观的检查和操作日标系统，收集相天　据一　ＳａｆｅＶＭ　Ｐｒｏ可时原始镜像文件或者对象汁算机系统　的物理硬髓进行保护，虚拟机内进行的任何操作　会　改动原始没备或者镜像义件；支持的Ｗｉｎｄｏｗｓ操作　系统有Ｗｉｎｄｏｗｓ　７、Ｗｉｎｄｏｗｓ　Ｖｉｓｔａ、Ｗｉｎｄｏｗｓ　２００３，　Ｗｉｎｄｏｗｓ　Ｘ　Ｐ．Ｗｉｎｄｏｗｓ　２０００．Ｗｉｎｄｏｗｓ　Ｎ　Ｔ．Ｗｉｎｄｏｗｓ　结合案情利ＩｔＪ综合取汪分析软件ｓａｆｅＡｎａｌｙｚｅｒ　（ｖ４．４）ｊ该软什是罔『土Ｊ盘石软件（上海）有限公司研　发的乍１’对硬盘、移动硬盘、ｕ盘等仔储介匝及ＤＤ、　ＡＦＦ、Ｅｎｃａｓｅ、ｌｓｏ格式、ＬＯｌ格式镜像文件进行取　分析的软件，支持的史件系统有ＮＴＦＳ、Ｆａｔ、Ｅｘｔ２／　Ｅｘｔ３、ＨＦＳ／ＨＦＳ＋、ＣＤＦＳ、ＵＤＦ；具彳『数据恢复、过滤、　分析、查找等功能，该软什是ＥＮＣＡＳＥ／ＦＴＫ／ｗｉｎｈｅｘ　Ｍｅ，Ｗｉｎｄｏｗｓ　９８　通过仿真环境模拟ｆｌ｛受害人一　某的　汁算机行访问１　００７９．ｃｆ网站访问该网站ｆＩ１ｆ提尔要安　等分析软件的全中文替代品　其中　分析功能上可利　用时问线分析功能建立时间』　域内修改、访问、创建　装安全捕件“ＣＨＩＮＡ．ｅｘｅ”程序，该程序运行后，计　算机中会弹ｆｆＪ标题为最高人民的弹ｆ｝Ｊ窗『】（　１）　的文件时问线．方便定位案什ｌ卡ｆ１关文件、　２．２．１卸栽杀毒软件行为的记录　利朋ｓａｆｅＡｎａｌｙｚｅｒ（ｖ４．４）软件过滤ｍ涉案汁算机　硬盘内的网贞文件，以案发时间为主线通过时间线　分析功能，捩取该讣辫：机２０ｌ５年８月２１口２０点２４　分生成了ｓａｆｅ．ｈｔｍｌ网页文件，通过查看该网页分析　¨１该行为是卸载杀毒软件【　网３），日的是为了能　够Ｉ｝　常访问犯罪嫌疑人指定的网站．或者从网站下载　插件的时候小被杀毒软件拦俄　Ｕ●　■５ｍｇ■●口■■■　ｚＲｌ■＿一＿一　ｉ■ｓ雌　０＆　－群　——　——　口母５９７４　ｌ５－∞－２ｌ　２Ｃ＝２４＝４９‘叼ａ＂ｇ　口肆￥口　９７５　２ｏｉ，—惦　２１　２ｏ＿洲　ｈ　删　钳７６拍ｌ５－０￣２１凇●蚺ｆ＿ｃｎ聊　口　，＂７挪Ｉｓ・∞－ｎ砌描Ｏ　０ｌｓ　ｕ雌　ｌ习ｌ　”ＣＨＩＮＡ”插件　ｒ　口　５９７８　２０１５－０８－２１∞　：如ＭａＮＩ￣ＳＴ－ＯＩ５６％９　口茁５　１０１５・Ｏ｝２ｌ弛　，。ＣＵＲＲＥＮＴ－ＲＦ２￣ｇ７Ｉｄ￥￣ＴＭＰ　Ｆｉｇ．１　Ｔｈｅ　ｏｕｔｃｏｍｅ　ｗｉｔｈ　ｔｈｅ　ｉｍＤｌｅｍｅｎｔａｔｉＯｎ　ｏｆｔｈｅ”ＣＨＩＮＡ”　ｐｌｕｇ—ｉｎ　口盛５９∞曲ｌ’・罅ｔ２ｌ∞　村０赫ａｗＯ　ｂ－　●　口Ａ口　，　５９８曩１２　　２２０ｏ１Ｉ５ｌ－—（。￣．Ｉ－２ｌ１　∞　２￣２．＆５０　Ｏ聊ｓ１２０４￣１Ｉｏ曲　ａ　・　｛　棒　一　ｉｉ，　“　存虚拟机＿Ｊ　通过埘“ＣＨＩＮＡ．ｅｘｅ”运行后的活　动端ｒ＿ｊ分析，该　序是远程控制程序ｔｅａｍｖｉｅｗｅｒ（见　２）的定制版、陔程序分为服务端和客户端，安装　受害人机器上的为服务端，犯罪嫌疑人使Ｈ】客户　图３　卸载杀毒软件行为的记录　Ｆｉｇ．３　Ｔｈｅ　ｒｅｃｏｒｄ　ｏｆ　ｕｎｉｎｓｔａｌｌｉｎｇ　ｔｈｅ　ａｎｔｉ—ｖｉｒｕｓ　ｓｏｆｔｗａｒｅ　端远程连接服务端　犯罪嫌疑人通过电活向受害人　２０ｌ６年第４Ｉ卷第６期　周翔：一起网络诈骗幸中的电子物证检验　２．２．２访问假冒最高人民网站的记录　受　．１；：人　某的汁算机丁８月２Ｉ　ｌｊ　２０点３０分　次　伪　成最高人　俭察院的『ｘｘＪ站１００７９．ｃｆ（　２．２．４网银转账的记录　通过ｓａｆｅＡｎａｌｙｚｅｒ过滤…所＿仃网　史什，ｊｉ：缃业　仃账号关键词搜索过滤…的网页文件，捩收到　转　网　，得到转　ｉ　求（　转ｍ＃髓　４），卜　通过网站　询十｝　最『ｌ　愉已向其下发逑　捕令　墨曩Ｅ墨匿墨墨墨墨　函　。　一。一——一露窭富璧垦鐾霾匿墨蟊要量圆１ｓ。ｓ２ｌ２缸蝴　６　珏１＠黼６）　　醵ｉ＾曲ｉ＾懒　蕾　ＩＩ毫丝辨　＃搿Ｉ　踟蹦胁　＃＾Ｉ号　＃舻‘＃＾ｌ　蟑雌　肆　胛１７　２ｏ１５。８　２１Ｎ：３０＇２２埘姗琳ｔ瑚２２　６懈２１毒　畹ｉ￣７９．ｄ　ｌ㈣ｄ　＿　－　‘醛　—■＿—■●■■—＿爵　・・—・●　＝ｌ—Ｅ　氍＊漆兽竺　蠹　２；　图６　网银转账的记录　Ｆｉｇ．６　Ｔｈｅ　ｒｅｃｏｒｄ　ｏｌ’ｏｎｌｉｎｅ　ｂａｎｋ　ｔｒａｎｓｆｅｒ　＆　＾　＾　ｌ，ｇ　＾　按　＃　目Ａ　州＾　瞎　疆ｉｉ！ｌ　话琵震翥舔慧辫　；　；　豁２嚣　§≮　？　３　讨论　，　一一　定人员　会、人为涉案　霉握　、’Ｅ目　｛ｔ表毒员　《窜Ｉ　建　世辱　草等　ｉ　专　鞋　码　＃　＃§＾　］　饕　砩　此类案ｆｑ：６－：分｛：Ｊｉ．Ｉ１’ｆ，　汁钟：机可能被悄人小　５，会化费１人遁时川上　找小　图４　访问假冒最高网站的记录　Ｆｉｇ．４　Ｔｈｅ　ｒｅｃｏｒｄ　ｏｆ，３．ＣＣｅＳＳ　ｔｏ　ｔｈｅ　ｆａｋｅ　ｗｅｂｓｉｔｅ　ｏｆ　Ｓｕｐｒｅｍｅ　Ｐｒｏｃｕｒａｔｏｒａｔｃ　，５．但本案是一起　型的利川程序远程操作受　ｉ；：人汁　机，同时利删电话骗取受　＾：人的信任，实施　案什．时间线　电了物ｉｌｔ！Ｌｌ２ｉｌｌＩ，　折中起营至炎　的　的　２．２．３登录中国农业银行进行验证的记录　８　Ｊ　Ｊ　２１日２Ｉ点０４分受　，　人ｌｉ桀的汁算机访　ｒｆＪ旧农、　银行网页进行“验　”（　５）　．作』Ｉ　Ｊ，通过对时ｆｎＪ线的分析，往ｆｊ＝能分析ｊ¨　案什　发，ｌ　时　嫌疑人或受　人埘计算机所进仃的操作，　岐　…ＩＩ，Ｊ‘利用动态仿真系统模拟涉案、卜苒￣）Ｌｆｌ９操作ｆ　．　能够进一步　Ｉ１月案什发　ｌＩ汁算机所触发的　ｌ、ｆ卡¨父程序的功能，从『ｎ　作案过秤得以ｆ｛ｆ现　④　－＆　诅曼　｝　｛《Ｈ｛Ｉ毒ｌ　ｔ　＿‘　孵　●｛啪拥一酗朴ｔ　ｌ　＊　聊ｌ　Ｉ　・ｔ　参考文献　［１］ＺＩＪ唬々　．　晓　，Ｉ　ｉ。　ｌｉ．’ｆＩｌｌｎｊ］　；ｆ　ｆ：呕ｆ勾ｆｎＩＩ，Ｊ　ｆＩｔＪ　分＂　Ｈ１　明．　ｉ　、　络友　，２００９（３）：７７—８０．　图５登录中国农业银行进行验证的记录　Ｆｉｇ．５　Ｌｏｇｇｉｎｇ　０１１１０　ｔｈｅ　Ａｇｒｉｃｕｌｔｕｒａｌ　Ｂａｎｋ　ｏｆ　Ｃｈｉｎａ　ｆｂｒ　ｖｅｒｉｆｉｃａｔｉｏｎ　［２］　振洲，斥ＨＪＪ秋．　Ｊ　ＡＴＴ　３０００的动志俯　明．北京政ｉＺＳｎ，ｑｋＣ：院　报．２０ｌ０ｆ４）：１２４　ｌ１６．　技术研’）’　收稿日期：２０ｌ　５　ｌ　Ｊ　７　引川本艾格式：尉翔．一起　络诈犏窠Ｉｔｌｌｌ『内电ｒ物证检验ｌｊ１１）ｔ３１＇ｇ技术，２０１６，４１（６）：４９１—４９３