В современном цифровом мире видеокарта (GPU) перестала быть лишь компонентом для игр. Сегодня она хранит фрагменты личных переписок, следы криптовалютных операций, остатки удалённых видео-файлов и даже доказательства киберпреступлений. Судебная экспертиза видеокарты — это точечное исследование, которое позволяет извлечь максимум информации из графического ускорителя и представить её в качестве доказательства в суде.

Что такое судебная экспертиза видеокарты?

Судебная экспертиза видеокарты — это комплекс криминалистических и технических мероприятий, направленных на:

• Извлечение данных из видеопамяти (VRAM), EEPROM и кэш-памяти;
• Определение фактов несанкционированного доступа к системе;
• Выявление следов майнинга, взлома, или скрытого ПО;
• Установление технических характеристик устройства для идентификации.

Юридическая ценность: результаты экспертизы оформляются в виде заключения, которое имеет статус письменного доказательства (ст. 86 УПК РФ).

Когда требуется экспертиза?

2.1 Криминальные сценарии

1. Кража криптовалюты: GPU может хранить остатки приватных ключей.
2. Распространение запрещённого контента: кадры из видеофайлов могут быть закэшированы.
3. Нападения на критическую инфраструктуру: в VRAM фиксируются фреймы удалённых рабочих столов.
4. Экономические споры: доказательство использования вычислительной мощности без разрешения.

2.2 Гражданские дела

• Взыскание ущерба за «перегон» видеокарт в майнинг-фермах.
• Оспаривание закупки поддельных GPU в тендерах.

Подготовительный этап

Меры по сохранению цепочки доказательств

1. Фиксация внешнего вида. Фото и видеосъёмка с обоих сторон платы.
2. Изоляция от питания. Отключение в течение 30 мин для разряда конденсаторов.
3. Тампера-ленты и RFID-стикеры. Исключают подмену микросхем.
4. Запечатывание в антистатичный пакет. Предотвращает электростатический разряд.

Аппаратная часть исследования

Критические точки

• Температура: работа выше 90 °C может стереть следы в VRAM.

Программная часть

5.1 Создание bit-to-bit образов

1. Загрузка с «живого» USB на базе SIFT Workstation.
2. Использование ddrescue + dcfldd для побайтового клонирования VRAM.
3. Контрольная сумма SHA-256 на каждом этапе.

5.2 Анализ метаданных

• NVIDIA SMI → извлечение журнала температур и нагрузки.
• ROCm SMI → для AMD Radeon.
• Автоматизация через pyamdgpuinfo и nvidia-ml-py.

5.3 Поиск артефактов

Специфика судебного оформления

6.1 Структура заключения

1. Вводные данные: марка, серийный номер, дата изъятия.
2. Методика: ГОСТ R 56939-2016 «Исследование цифровых носителей».
3. Результаты: таблицы хешей, скриншоты hex-дампов, выводы.
4. Приложения: дамп VRAM на DVD-R (2 копии, 1 — в запечатанном конверте).

6.2 Допрос эксперта

На допросе эксперт должен готов объяснить:

• каким образом сохранялась неприкосновенность данных;
• почему выбрана именно данная методика (например, применение JTAG вместо «горячего» чтения);
• какие ограничения существуют (например, Rowhammer может исказить дамп).

Риски и ограничения

• TRIM-команды: современные SSD-GPU кэши могут стирать данные при отключении питания.
• Шифрование: если VRAM задействована как staging area для шифрования памяти, данные могут быть зашифрованы.
• Динамический разгон: изменение частот памяти приводит к смещению физических адресов.

Практический пример (кейс-стади)

Обстоятельства дела

В июне 2025 года в Москве был арестован оператор майнинг-фермы, обвинённый в хищении электроэнергии на 12 млн руб. GPU RTX 4090 изъяли, но операционная система была удалена. Эксперту удалось:

1. Извлечь дамп VRAM размером 24 ГБ.
2. Найти в кэше фреймбуфера зашифрованный QR-код кошелька, ассоциированного с биржей Binance.
3. Сопоставить время последнего майнинга (из лога GPU-Z) с периодом хищения электроэнергии.

Результат: суд признал доказательства допустимыми, обвинительный приговор — 4 года лишения свободы.

ПО и оборудование «под рукой»

• Аппарат: Medusa Pro Box, iSocket JS-3000, X-Cube JTAG.
• ПО: GPU-Z, Radeon Compute Profiler, Volatility3 plugin gpu_cache.
• Лаборатория: сухая комната 22 °C, антистатические коврики ESD, боксы Faraday.

Чек-лист для следователя и юриста

1. ✅ Определите, нужна ли именно видеокарта, а не только жёсткий диск.
2. ✅ Не включайте устройство до экспертизы: каждая перезагрузка снижает шансы на успех.
3. ✅ В запросе на экспертизу укажите: «Провести исследование VRAM и BIOS EEPROM видеокарты».
4. ✅ Требуйте видеозапись процесса изъятия и упаковки — защита от заявлений о подмене.
5. ✅ Проверьте, указан ли эксперт в реестре Минюста РФ по специальности «Криминалистическая исследование компьютерной техники».

Видеокарта — это не просто «железо», а свидетель, который «видел» сотни миллиардов операций. Правильно проведённая судебная экспертиза способна превратить микроскопические остатки данных в весомые доказательства, способные повлиять на исход дела. Главное, соблюдать процессуальные нормы, использовать сертифицированные методики и не забывать о человеческом факторе: даже самая продвинутая технология ничего не стоит без строгой цепочки доказательств.