Потерянные в джунглях. Первая опубликованная книга-расследование о жутком исчезновении Крис Кремерс и Лисанн Фрон в панамских джунглях

1. Последний физический сектор фотографии, сделанной до исчезнувшей (IMG_0508.JPG), последовательно соединялся с первым сектором фотографии, сделанной после (IMG_0510.JPG). Чтобы объяснить это, исследователь принял тот факт, что фото IMG_0509.JPG могло быть удалено до того, как была сделана следующая фотография, и место заняла IMG_0510.JPG.

2. Были сделаны попытки, с использованием нескольких профессиональных программных продуктов (En Case, PhotoRec), найти исчезнувшую фотографию или то, что от нее осталось. Но ни одна из программ не нашла ее на копии SD-карты. Следы других 64 удаленных фотографий и четырех видеофайлов были найдены.

Предмет исследования

Каким образом можно удалить фотографию с SD-карты, чтобы получить результат, описанный выше (см. 1 и 2)?

Методика

Чтобы ответить на вопрос, мы провели серию тестов, используя следующие инструменты:

Оборудование:

1. Фотокамера Canon Powershot SX270 HS, идентичная той, что принадлежала Лисанн Фрон.

2. В качестве носителя данных — две SD-карты объемом 64 GB от SanDisk.

3. Использованный компьютер — ноутбук HP 15s-fqlxxx с Windows 10 версия 1903.

Программное обеспечение:

4. DiskGenius 5.2.1.941 х64, Eassos Technology Co., Ltd.

5. Herman FAT Recovery 3.0, Herman Software

6. MiniTool Partition Wizard 12.0, MiniTool Software Limited

7. Disk Manager 10.0.18362.1, Microsoft & VERITAS Software Corporation

С целью получить во время тестирования как можно более ясную картину мы проверили, насколько используемое нами оборудование и программное обеспечение соответствуют оригинальным приборам.

Могло бы оказаться, что прошивка фотокамеры Canon Powershot не та же, что у оригинала. Изучение этого вопроса показало, что для типа SX270 HS была выпущена только одна версия — 1.0.2.0 от 4 июня 2013 г., так что прошивка была идентичной.

До начала первого теста настройки камеры были сброшены до заводских.

SD-карта, найденная в рюкзаке, была объемом 16 GB и с файловой системой формата FAT32, а форматом карт, которые использовали мы, был exFAT. Чтобы устранить это несоответствие, мы создали на картах, используемых в тесте, новый раздел объемом 16 GB, который каждый раз форматировался в системе FAT32. Мы предположили, что эта процедура гарантирует, что используемые в исследовании карты памяти не приведут к искаженной картине.

С целью как можно точнее определить во время теста, что произошло на самом деле, каждая SD-карта перед началом каждого теста делилась на секторы при помощи MiniTool Partition Wizard, все секторы были перезаписаны нулями, а затем разделены и отформатированы описанным выше методом.

Тест А

При помощи этого теста мы хотели исследовать, возможно ли, чтобы то место, которое первоначально занимало удаленное фото, заняло фото, сделанное следующим.

Чтобы проверить это, мы сняли фотокамерой одиннадцать фотографий и посмотрели, какие секторы заполнила каждая. В таблице № 1 в левой части показано, что все фотографии были записаны в последовательность секторов в кластерах на SD-карте: в колонке, где высчитывается место для следующего файла, мы везде видим 0. В списке занятых кластеров (ОСЬ) показано, что фото 11 записано в кластер секторов от 1733 до 1908 включительно. Затем мы удалили фото 11, используя функцию удаления в фотокамере, и сделали новый снимок. Правая колонка рисунка 1 показывает, что изменилось: место в конце файла, занятого фотографией 10, не соответствует месту, которое занимает новая фотография. Не только расположение, но и размер этого промежутка почти соответствует месту, которое занимала удаленная фотография. Затем нас удивило, что фотокамера дала файлу новой фотографии то же имя, что было у удаленной фотографии. При использовании программы восстановления файлов удаленное фото могло быть найдено и полностью восстановлено. Мы повторили этот тест три раза, каждый раз получая одну и ту же картину.

Тест A показывает, что предположение, что место в памяти, которое занимала фотография, удаленная фотокамерой Powershot, затем занимает фотография, сделанная сразу после нее, и что в процессе номер фотографии пропускается, неверно.

Таблица № 1

Тест B

При помощи второго теста мы хотели исследовать, получим ли мы ту же картину, что в результате теста А, если для удаления фотографии использовать компьютер.