На факт создания вредоносной программы могут косвенно указывать следующие обстоятельства:
а) повышенный интерес посторонних лиц к алгоритмам функционирования программ, работе системы блокировки и защиты, входной и выходной информации;
б) внезапный интерес к программированию лиц, в круг обязанностей которых оно не входит. Эти обстоятельства выявляются как в ходе оперативно-розыскных мероприятий, так и при производстве следственных действий, в частности допросов пользователей компьютерной системы, в которой обнаружились признаки действия вредоносной программы.
О создании вредоносной программы свидетельствуют факты ее использования и распространения, особенно данные, позволяющие заподозрить конкретное лицо в такой противоправной деятельности. При этом необходимы своевременные и тщательно произведенные обыски в местах работы и жительства подозреваемого, а также там, откуда он мог наладить доступ к компьютерной системе. К обыску целесообразно привлечь специалиста-программиста, который поможет обнаружить все относящееся к созданию вредоносной программы для ЭВМ.
Факты использования и распространения вредоносной программы нередко обнаруживаются с помощью антивирусных программ. В ходе расследования такие факты можно установить при осмотре следующих документов:
а) журналов учета рабочего времени, доступа к вычислительной технике, ее сбоев и ремонта, регистрации пользователей компьютерной системы или сети, проведения регламентных работ;
б) лицензионных соглашений и договоров на пользование программными продуктами и их разработку;
в) книг паролей; приказов и других документов, регламентирующих работу учреждения и использование компьютерной информации. Эти документы нередко ведутся в электронной форме, поэтому к ознакомлению с ними необходимо привлекать специалиста. При изучении журналов, книг, соглашений и другой документации следователь может выяснить законность использования того или иного программного обеспечения, систему организации работы учреждения и обработки в нем информации, доступа к ней и компьютерной технике, круг лиц, имевших на это право.
Проводя допросы свидетелей, необходимо выяснять, какая информация подвергалась вредоносному воздействию, ее назначение и содержание; как осуществляется доступ к ресурсам ЭВМ, их системе или сети, кодам, паролям и другим закрытым данным; как организованы противовирусная защита и учет пользователей компьютерной системы.
В ходе допросов свидетелей нужно иметь в виду, что практикуется множество способов использования и распространения вредоносных программ. Так, нередки случаи запуска программы с другого компьютера или с дискеты, купленной, одолженной, полученной в порядке обмена, либо с электронной «доски объявлений». Распространение вируса, вызывающего уничтожение и блокирование информации, сбои в работе ЭВМ или их системы, может происходить по компьютерной сети вследствие использования нелицензионной и несертифицированной программы (чаще игровой), купленной у случайного лица, а также скопированной у кого-либо.
Доказыванию фактов использования и распространения вредоносных программ способствует своевременное производство информационно-технологической экспертизы, посредством которой можно определить, какие изменения и когда внесены в исследуемые программы, а также последствия использования и распространения вредоносных программ. Экспертиза может также установить примененный преступником способ преодоления программной и аппаратной защиты (подбор ключей и паролей, отключение блокировки, использование специальных программных средств).