Загадочная смерть в панамских джунглях

[Вита]

Флешка была новой, куплена вместе с фотоаппаратом.

Простите, тут, видимо мы просто разошлись в терминологии.
Я, конечно, не имел в виду, что флешку нашли в могиле Тутухамона или купили её с рук подержанную.
Под термином "Новая флешка" я подразумевал, что она использовалась впервые после покупки.
В этом смысле если на неё уже делались какие-то фотографии в Голландии, а потом, перед поездкой в Панаму, их скопировали куда-то, а флешку очистили/отформатировали, то она уже не "новая флешка".

[Криминайка]

Я нашла информацию, это должно быть в первой книге или в немецкой версии, в английской, возможно, этого нет. Техникам удалось восстановить обе фотографии с камеры, речь идет о снимках и миниатюрах, восстановленных с помощью криминалистического программного обеспечения. Это произошло в Нидерландах. Панамские следователи смогли просмотреть соответствующие изображения непосредственно на камере или перенести их на компьютер.

Однако, конечно, неясно, кто именно это сделал и где. Оригинальные фотографии действительно были перезаписаны временными. Также не известно, где хранятся оригиналы и существуют ли они вообще. Всё именно так, как есть.
Я поищу дополнительную информацию, возможно, она поможет прояснить ситуацию.

[GreK]

Под термином "Новая флешка" я подразумевал, что она использовалась впервые после покупки.
В этом смысле если на неё уже делались какие-то фотографии в Голландии, а потом, перед поездкой в Панаму, их скопировали куда-то, а флешку очистили/отформатировали, то она уже не "новая флешка".

Тогда термин "чистая" больше подходит, а не "новая". Флешка была куплена новой запечатанной, вместе с фотоаппаратом, вставлена в него, и больше не вынималась. После аэропорта не было снято ни одного видео. Поэтому логично предположить что удалённое - это типа тестов, изучения, проб и ошибок.

Я понял о чём речь, типа перед поездкой карта была очищена, а содержимое скопировано предварительно в другое место. Но нет, нумерация имеет продолжение, даты и т.д.

форматирование карты

А почему нельзя перезаписать конкретно нужную область? Смотрим FAT - фото 0509 занимает кластера 19000 - 19887 (к примеру), берём и перезаписываем нулями область 19000 - 19887. Всё, ничего не восстановиться никогда. Назовём это низкоуровневое выборочное форматирование части карты памяти. Так же и с клонированием, клонируем всё до фото 0509, а затем копируем остальное с 0510 просто копированием, и будет всё строго по очереди без дефрагментации и разрывов. А что было до 0509 восстановиться - оно же полный клон оригинала.

[Вита]

А почему нельзя перезаписать конкретно нужную область? Смотрим FAT - фото 0509 занимает кластера 19000 - 19887 (к примеру), берём и перезаписываем нулями область 19000 - 19887. Всё, ничего не восстановиться никогда.

Такое возможно. Именно так и уничтожается информация на носителях. Вернее, это один из методов. Наиболее параноидальный метод для гарантированного уничтожения информации более 30 раз подряд перезаписывает занимаемое ею место то нулями, то единицами, то случайными цифрами.
Но(!) для этого нужно использовать специальные программы для уничтожения информации. Потому как обычные программы и средства операционных систем "заточены" под быстродействие. И поэтому все они при удалении файла стирают лишь запись о нём.
Так случайно не сделаешь.

будет всё строго по очереди без дефрагментации и разрывов

А это тоже не факт, что может получиться стандартными средствами операционной системы.
Дело в том, что первое поколение флеш-памяти всех типов страдало тем, что каждая отдельно взятая ячейка памяти имела ограниченное, не очень-то и большое число, циклов перезаписи информации до выхода её из строя. В результате придумали и внедрили такой способ повышения срока наработки на отказ: операционная система подсчитывает сколько раз была перезаписана ячейка, а когда нужно произвести запись она использует для этого те ячейки, которые были наименьшее число раз перезаписаны.
Современные операционки, начиная, если не ошибаюсь, с Windows XP такой способностью обладают.
Где-то выше в этой теме, цитируя экспертов, упоминали, что операционная система фотоаппарата поступает подобным же образом.
Так что, скорее всего, ни компьютер, ни фотоаппарат не стали бы перезаписывать стертый файл, учитывая, что на носители вдоволь свободного места.
Хотя... лично я не знаю точного алгоритма работы этих систем. Могу допустить, что такой способ может быть организован циклически и тогда несколько последовательных перезаписей одних и тех же ячеек допустимо.

[Temperance]

Возможно, Temperance посмотрит в английской версии в главе о рюкзаке.

Ничего нового там нет.

Приводится цитата из отчета (прямая речь эксперта):
"Я заметил, что в приведенной выше серии фотографий не хватает одного файла: IMG_0509.JPG. Я увидел, что это бросающийся в глаза факт, поскольку предыдущая фотография IMG_0508.JPG (...) была датирована 1 апреля 2014 года, 13:54 и следующая IMG_0510.JPG была датирована 8 апреля 2014 года, 1:29 ночи. Я также заметил, что за файлом IMG_0510.JPG следовала серия из 100 фотофайлов с темными ночными изображениями, локацию которых было трудно определить. Следственная группа попросила меня дополнительно разобраться в этом и выяснить, есть ли на диске следы пропавшего файла.
Используя программу Encase, я тщательно обыскал файлы улик на диске в поисках следов пропавшего файла. Я предположил, что файл, вероятно, был удален вручную в неизвестное время после 1 апреля 2014 года, 13:54. Однако, мне не удалось найти никаких следов этого недостающего файла в файловой системе FAT32 носителя данных. Затем я использовал программу восстановления данных Photorec версии 6.14 от CGSecurity для поиска в свободном пространстве хранения (нераспределенных кластерах) носителя данных остатков файлов фотографий, которые еще можно было восстановить из этого места хранения. Эта программа обычно достигает очень хороших результатов. [...] Результаты программы Photorec не выявили следов пропавшего изображения IMG_0509.JPG."

После следует уже текст авторов:
Судебно-медицинский эксперт выполняет серию дополнительных анализов и признает, что секторы файла 508 идеально стыкуются со следующей фотографией 510.  Если бы 509 был сделан, а затем удален вручную, это обычно было бы замечено по пробелу в файловой системе.
Ни одна из ранее удаленных на камере фотографий, которые можно было восстановить с помощью криминалистического программного обеспечения, не вызвала такой ошибки в файловой системе. В конечном итоге эксперт делает сухой вывод: "Мне не удалось определить точное время удаления файла и обстоятельства удаления".

Забавный момент - Снорен и Вест с подельницей Питти и тут опозорились:

Авторы "Затерянных в джунглях" также провели тесты с камерой и обнаружили явную возможность того, что девушки вынули карту памяти после съемки 508-го снимка и вставили новую, чтобы следующая фотография сохранилась на этой как 509. Они затем снова поменяли SD-карты и следующему фото на найденной карте памяти был присвоен номер 510. Независимо от того, был ли повод для столь странного действия, неизвестно, была ли у Крис и Лисанн с собой вторая SD-карта.
Но именно это утверждают авторы, приводя выдуманную историю панамского следователя, который, как они утверждают, рассказал им, что в рюкзаке были найдены две карты памяти. Поскольку в материалах об этом нигде не упоминается, мы предполагаем, что этот эпизод является просто выдумкой. Авторы, вероятно, думали, что смогут реализовать эту выдумку, поскольку предполагали, что только они имеют доступ к файлам. В то время, когда они писали свою книгу, они не знали, что Мэтт из Imperfect Plan имел к ним доступ. Однако блоггер Imperfect Plan указал на несоответствие по электронной почте после выхода книги, в результате чего авторы тайно удалили этот отрывок из международной версии своей книги и оставили смену SD-карты лишь как теоретическую возможность. Поскольку они не делают этого для голландской версии книги, в субреддите r/KremersFroon разгораются жаркие дискуссии, когда пользователи Reddit обнаруживают, что работы различаются значительными отрывками.
"Панамский следователь", очевидно, Питти.

[GreK]

Но(!) для этого нужно использовать специальные программы для уничтожения информации. Потому как обычные программы и средства операционных систем "заточены" под быстродействие. И поэтому все они при удалении файла стирают лишь запись о нём.

Не совсем они специальные, бесплатных много, есть под DOS есть под Windows, та же Victoria например. В основном форматируют всё целиком без возможности задать начало и конец. В фотоаппарате Canon был низкоуровневый формат в меню, много флешек восстанавливалось таким способом, комп, телефон не может отформатировать, а фотик раз и порядок.

Так случайно не сделаешь.

Такое бывает, когда записывается информация в саму таблицу FAT и в этот момент происходит сбой - с электричеством например, система зависает, Reset если нажать и т.д. запись началась но она не завершилась, может вообще вся таблица испортиться.

В итоге, сделать такую карту памяти сложно, но если заморочиться то возможно, как минимум двумя способами.

[Криминайка]

"Панамский следователь", очевидно, Питти.

Это, кстате, весьма коварное слово в плане перевода, в немецкой версии они просто говорит человек из Панамы:
"Doch genau das behaupten die Autoren, indem sie die Geschichte eines Panamens, der ihnen verraten haben will, dass im Rucksack zwei Speicherkarten gefunden worden seien"
Я предполагаю, что можно не акцентировать внимание на том, является ли это детективом, следователем или человеком, работающим с полицией. Если ложь, то существенной разницы нет. Питти же не было при распаковке рюкзака? Почему такая тайна вокруг второй карты? Кстати, если поменять карту местами, нужно ли снова настраивать дату на фотоаппарате? Поскольку есть подозрения, что 2013 год был установлен с момента покупки фотоаппарата и больше никогда не менялся. В общем, написала немного сумбурно.
Это вообще норма что время "правильное" а год нет? Если это заводские настройки.

[Криминайка]

Голландским экспертам оригиналы фотографий, обнаруженные в полицейском досье?

Оригиналы не были переданы, и если власти Панамы официально не комментировали обработку фотографий,  я думаю что вряд ли они каким-либо образом документировали это, например, в виде записи о "просмотре фотографий". Возможно, все манипуляции проводились непосредственно на самой карте, и все данные сохранялись там. Сейчас такую версию выдвигают пользователи Reddit. В общем, не полиция, а просто дураки кругом. Авторы книг предлагают совершенно противоположные теории.

Никто не может отрицать, что возможны другие манипуляции, которые могли произойти до того, как материалы попали в полицию Панамы. Если вы заметили, на фотографиях, представленных в сети, дата на одной из них расположена вверх ногами, и теперь неясно, где верх, а где низ.
Получается, было как-то неправильно, а они исправили на "правильно".

Нельзя сказать, что они действовали с добрыми намерениями, внося путаницу, и утверждать, что хотели сделать что-то плохое. Но факт остается фактом: либо произошло сокрытие информации, либо уничтожение улик такими неразумными действиями.

[Temperance]

Кстати, если поменять карту местами, нужно ли снова настраивать дату на фотоаппарате?

Нет, не надо настравивать.

Поскольку есть подозрения, что 2013 год был установлен с момента покупки фотоаппарата и больше никогда не менялся. В общем, написала немного сумбурно.
Это вообще норма что время "правильное" а год нет? Если это заводские настройки.

Если стоят заводские настройки, то всё будет неправильное.
Я так поняла, что всё и было неправильное. Дату  и время синхронизировали по часам парня, который попал на фото в Бокасе.
Согласно отчету, датой сохраненных изображений в данных EXIF является 2013 год. Для своего анализа эксперт изменил дату на 2014 год в соответствии с выводами о пребывании Крис и Лисанн  в Панаме. Сравнивая фотографию девушек в аэропорту Амстердама с другой, сделанной после прибытия в Панаму, на которой изображены наручные часы, судмедэксперт устанавливает, что время, установленное камерой, соответствует голландскому зимнему времени.

[Вита]

Не совсем они специальные, бесплатных много, есть под DOS есть под Windows, та же Victoria например.

Я ничего не говорил о платности/бесплатности программ. А если Вы не заметили, то та же Victoria - это и есть специальная программа. Она специально предназначена для диагностики, тестирования и... стирания информации.
Зато она не предназначена для просмотра и редактирования фотографий.

[Temperance]

Нельзя сказать, что они действовали с добрыми намерениями, внося путаницу, и утверждать, что хотели сделать что-то плохое. Но факт остается фактом: либо произошло сокрытие информации, либо уничтожение улик такими неразумными действиями.

Факт остается фактом: улики скомпрометированы, и, следовательно, не могут лежать в основе какой-либо версии событий.
Например, самое очевидное, из фото удалены фото с третьим лицом или фото, указывающие определенно на какое-то время и место, отличное от тропы Пианиста и отличное от времени, когда их официально помещают на тропу. Поменять время во всех EXIF можно без проблем, и никаких следов от этой манипуляции не будет.
Мог вообще быть составлен коллаж из фото других дней, а неудобные фото подправлялись, потому что не влезали и легенду. IP и Стив указывают на странности в хронологии, слишком маленький промежуток между двумя фото, хотя девушки переместились, слишком быстрое в целом прохождение тропы.
Про свидетелей, которые видели вообще не то, уже сколько раз было сказано, и их послали, как дебилов, которые сами не знают, чего видели. Все просто врут тотально. Ну, да.

[Вита]

Нельзя сказать, что они действовали с добрыми намерениями, внося путаницу, и утверждать, что хотели сделать что-то плохое. Но факт остается фактом: либо произошло сокрытие информации, либо уничтожение улик такими неразумными действиями.

Если файл с фото 509 был удален случайно, то, почти наверняка, там не было ничего такого, за что можно было бы зацепиться в поисках пропавших.
Скорее всего это была первая из серии темных ночных фотографий.

Факт остается фактом: улики скомпрометированы, и, следовательно, не могут лежать в основе какой-либо версии событий.
Например, самое очевидное, из фото удалены фото с третьим лицом ... Поменять время во всех EXIF можно без проблем, и никаких следов от этой манипуляции не будет.

Интересные у Вас злоумышленники получаются:
- с одной стороны они такие профессионалы, что могут менять дату в EXIF так аккуратно, что никакие эксперты это не могут обнаружить.
- с другой стороны они же так туповаты, что не могут переименовать файлы на флешке так, чтобы они шли подряд без пропусков 509 фото, и это видит любой самый невнимательный человек.

[Криминайка]

Интересные у Вас злоумышленники получаются:
- с одной стороны они такие профессионалы, что могут менять дату в EXIF так аккуратно, что никакие эксперты это не могут обнаружить.
- с другой стороны они же так туповаты, что не могут переименовать файлы на флешке так, чтобы они шли подряд без пропусков 509 фото, и это видит любой самый невнимательный человек.

Здесь мы имеем в виду не только технический аспект, но и человеческий: кому и когда это было выгодно сделать — Панаме или Нидерландам. Ведь основными подозреваемыми являлись нидерландцы, поскольку именно их дома в Бокете подвергались обыскам.

Добавлено позже:

Согласно отчету, датой сохраненных изображений в данных EXIF является 2013 год. Для своего анализа эксперт изменил дату на 2014 год в соответствии с выводами о пребывании Крис и Лисанн  в Панаме. Сравнивая фотографию девушек в аэропорту Амстердама с другой, сделанной после прибытия в Панаму, на которой изображены наручные часы, судмедэксперт устанавливает, что время, установленное камерой, соответствует голландскому зимнему времени

Это время, а дата 8 апреля?

[Temperance]

Интересные у Вас злоумышленники получаются:
- с одной стороны они такие профессионалы, что могут менять дату в EXIF так аккуратно, что никакие эксперты это не могут обнаружить.
- с другой стороны они же так туповаты, что не могут переименовать файлы на флешке так, чтобы они шли подряд без пропусков 509 фото, и это видит любой самый невнимательный человек.

EXIF поменять не сложно, есть ПО. Что значит поменять аккуратно? Дата изменения EXIF никуда не пишется, в отличие от тела файла.
И кто такие "они"? Сами что ли делали? Наняли хакера, который сделал ровно то, и с таким качеством, как заплатили. (Так же как эксперт NFI, кстати.)
У этих "они" был грамотный расчет на то, что подозрения к делу не подошьешь, а явных доказательств не оставили. С 509 был явный косяк, но и он остался на уровне подозрений, что что-то не так. Тут не столько везение, сколько расчет, основанный на опыте, как ведется следствие, им абы что скормить, чтобы был НС, они потом сами будут стараться ничего не замечать.
Косяк с 509 Вы интересно интерпретируете. Преступники - сама полиция, но ни в коем случае не преступники как таковые.

Оффтоп (текст не по теме)

С палаткой прямая аналогия.

Добавлено позже:

Это время, а дата 8 апреля?

Дата выставлялась по фото в аэропорту, время по часам. Потом разницу применили ко всем фото на карте.

[Криминайка]

Дата выставлялась по фото в аэропорту, время по часам. Потом разницу применили ко всем фото на карте.

В каком смысле? Как они могли узнать, что ночные фотографии были сделаны 8 апреля? Это можно определить только по данным exif на фотографиях.

[Temperance]

В каком смысле? Как они могли узнать, что ночные фотографии были сделаны 8 апреля? Это можно определить только по данным exif на фотографиях.

Взяли EXIF фото в аэропорту и реальную дату вылета, определили разницу, на сколько дней отличаются даты. Потом взяли EXIF ночных фото, вычли или прибавили эту разницу, получили расчетную дату 8 апреля.
Даты EXIF у всех фото не правильные изначально.

[Вита]

Это можно определить только по данным exif на фотографиях.

На флешке дата и время создания файла *.jpeg должна совпадать с датой и временем в EXIF данных каждого файла.
Они могут быть неправильными оба, но непременно одинаковыми. Разве что какая-нибудь секунда-другая моет быть разницы, если процессор камеры нетороплив.

Дата изменения EXIF никуда не пишется, в отличие от тела файла.

Да, дата изменения EXIF не протоколируется, но:
EXIF данные интегрированы в тело файла типа изображения формата *.jpeg . Внесение в EXIF такого изображения изменений приводит к перезаписи всего файла с новой датой его создания.
И это, конечно, оставляет следы.

[Temperance]

EXIF данные интегрированы в тело файла типа изображения формата *.jpeg . Внесение в EXIF такого изображения изменений приводит к перезаписи всего файла с новой датой его создания.
И это, конечно, оставляет следы.

До начала манипуляций изменить системную дату на нужную, тогда дата создания будет какая надо.

Изменить системную дату у уже созданного файла очень просто:
1. Изменить системную дату.
2. Сделать копию файла.

Можно программно, в языке C++, например, есть функция SetFileTime.