Загадочная смерть в панамских джунглях

[Криминайка]

Скорее всего программно в памяти Самсунга не сохраняются данные об наличии-отсутствии сигналов GSM. Можно только предположить что приостановка приложения Гугл-карт выполнено автоматически (программно) а не вручную, и это косвенным образом намекает, что приложение перестало получать сигнал GSM для привязки к картам и определения местоположения абонента, поэтому перестало работать о чём и сделало запись в памяти устройства.

Wi- Fi
Некоторые поставщики услуг электронной почты предоставили записи, содержащие временные метки и IP-адреса, которые указывают на активность пользователя или синхронизацию (например, e.g., email, ActiveSync, POP). Скорее всего, это журналы сеансов. Другими словами, данные не запрашивались у Google или аналогичных сервисов — вместо этого следователи, по-видимому, получили прямой доступ к учётным записям электронной почты K+L ещё в апреле 2014 года и проанализировали журналы активности.  Анализ аккаунтов женщин в Нидерландах проводился 4 апреля (у Крис) и 9 апреля (у Лизанны). Также было обнаружено, что Лизанна искала «Pipeline Trail», а 1 апреля около 10:00 утра — «Pianista Trail».

Вот отрывок:
Крис:
29 марта, 03:22, IP 1 (lSP A)
30 марта, 10:02, IP 2 (ISP A)
31 марта, 06:15, IP 2 (ISP A)

Лисанн:
30 марта, 11:08, IP 2 ( lSP A)
31 марта, 08:36, IP 3 (ISP B)

Вероятно, это время соответствует местному голландскому времени (NLT). В таком случае Крис использовала бы общедоступный Wi-Fi на пароме 29 марта в 9:22. Сравнив адреса, можно было бы определить, что K+L пользовались  публичной сетью Wi-Fi 31 марта между 13:00 и 14:00. В этом случае Крису пришлось бы выключить и перезагрузить iPhone между 11:15 и 13:13 31 марта. В целом, эта временная шкала имеет больше смысла.

Возможно, зарегистрированные IP-адреса принадлежат не общедоступным маршрутизаторам Wi-Fi, используемым в Бокасе или Бокете, а прокси-серверам или шлюзам CGNAT. Эти серверы являются частью сетевой инфраструктуры провайдера и, как правило, централизованы или расположены лишь в нескольких местах. Это означает, что зарегистрированные адреса нельзя напрямую использовать для определения точного местоположения или конечной точки, например, конкретной публичной точки доступа Wi-Fi. Кстати: iPhone сохраняет все подключенные сети Wi-Fi в «Списке известных сетей», включая метку времени последнего использования и SSID Wi-Fi-роутера.

Кроме того, 9 апреля история местоположений Лизанны была извлечена из её учётной записи Google и проанализирована. Последнее зафиксированное местоположение было 1 апреля в 9:57 утра, в нескольких сотнях метров к северу от SbtR в Альто-Бокете. Местоположение могло быть определено с помощью GPS, баз данных Wi-Fi или мобильных сетей — всё это влияет на точность (от 5 до нескольких сотен метров). Для экономии заряда батареи местоположение регистрируется не постоянно, а на основе таких событий, как движение, изменение Wi-Fi или использование приложений, таких как Google Карты. Когда телефон находится в режиме ожидания, регистрация может полностью прекратиться.

В своей книге Марья Уэст и Юрген Снурен делают довольно сильное заявление: им удалось установить точный маршрут движения пропавших туристок. Они также утверждают, что точно знают причину их гибели и даже место ночной съёмки. Однако даже само "доказательство", подтверждающее, что девушки были у начала тропы B 11:04, является вымышленным. Хотя у авторов есть доступ ко всем материалам дела, они пишут, что iPhone Крис подключился к телефонной вышке у ресторана "Il Pianista". При этом в отчёте NFI чётко сказано, что экспертам не удалось обнаружить информацию ни об одной использованной базовой станции. Утверждение, что в это время у Лисанн было открыто приложение Google Maps в режиме "оффлайн", фактами также не подкрепляется.

[GreK]

Wi- Fi
Это означает, что зарегистрированные адреса нельзя напрямую использовать для определения точного местоположения или конечной точки, например, конкретной публичной точки доступа Wi-Fi. Кстати: iPhone сохраняет все подключенные сети Wi-Fi в «Списке известных сетей», включая метку времени последнего использования и SSID Wi-Fi-роутера.

Samsung тоже всё сохраняет. Как это нельзя? В сохранённых сетях есть беспарольная (общедоступная) сеть с названием  "Park" оно же SSID, и время подключения к ней. Такая сеть одна в известном парке, раз она есть в сохранённых то Samsung был там. Так же само сеть "SbtR", к которой подключались оба телефона, она одна и находится в школе. Кроме того даже IP адреса одинаковые присваивались - IP2, и провайдер одинаковый ISP A. В парке был другой - ISP B.

В Samsung есть в настройках - уведомлять об открытых (без пароля) сетях, идешь себе, слышишь уведомление - доступна открытая сеть такая-то, зашёл в настройки Wi-Fi и подключился. Весьма удобная функция, сам пользовался.

[Криминайка]

В русской версии книги в главе «Утро» упоминается, что, по воспоминаниям Эйлин, туристки начали обсуждать, куда можно отправиться на прогулку. В частности, нидерландки говорят о тропе Пианиста, что соответствует отчёту NFI. В документах упоминается что вероятно телефон Лисанн был подключён к школьной сети Wi-Fi с 9:09 до 10:16. Однако криминалистам не удалось установить сеть по её идентификатору (SSID), но, основываясь на одинаковых IP-адресах и временных сопоставлениях, они определили, что это был именно школьный Wi-Fi. Это также согласуется с тем, что телефон Samsung в последний раз был замечен в школе в 9:57. Это является последней известной локацией смартфона Лисанн, зафиксированной путём проверки истории входов в её аккаунт Gmail. В 9:09 Лисанн последний раз появляется в WhatsApp. Она также просматривает записи на NOS News и проверяет свою страницу в Facebook.

Дополнительно, анализ данных телефона показывает семнадцать поисковых запросов в Google, которые можно отследить через аккаунт Лисанн. Эти запросы свидетельствуют о том, что сначала она искала информацию о туризме в Панаме и маршрутах в Бокете, после чего её внимание привлекла тропа Трубопровода. В какой-то момент она делает пять запросов об этом маршруте, а затем отправляет ещё три запроса о тропе Пианиста. История поисковых запросов, найденная на школьном компьютере, показывает аналогичную картину.

[Glaider]

Ну это элементарно: любое письменное или голосовое сообщение подобного плана, содержащее вполне конкретное описание ситуации, психика Кремерс и Фроон непременно воспринимала бы в качестве прощального (предсмертного), указывающего на неотвратимость и неизбежность трагического финала. Другое дело - создание композиций из набора доступных предметов, несущих в себе некий, порождённый подсознанием их авторов, завуалированный cмысл.

Другое дело собрать вещи в рюкзак, в том числе вещи от погибшей подруги, и молча умереть.

[Temperance]

Другое дело собрать вещи в рюкзак, в том числе вещи от погибшей подруги, и молча умереть.

Предварительно сняв шорты, чтобы не запачкать биологическими жидкостями.

[Пенсионер МВД]

Другое дело собрать вещи в рюкзак, в том числе вещи от погибшей подруги, и молча умереть

Смерть второй из туристок (судя по всему, Фроон) могла произойти по причине:

- самоубийства на почве осознания безысходности;
- случайного падения в реку, будучи в сознании;
- падения в реку по причине потери сознания;
- нападения хищного животного;
- потери сознания на берегу реки с последующим попаданием тела в реку по причине стремительного подъёма уровня таковой.

Целенаправленный сбор вещей говорит об осознанности действий на тот момент и стремлении спастись, продолжая попытки поисков тропы. Предположу, что Фроон перед принятием данного решения находилась возле созданной ею же "композиции с пакетами", тайный смысл которой гипотетически содержит в том числе и некий намёк на данное намерение.

 

Предварительно сняв шорты

Шорты отделились уже после попадания тела в реку вследствие механического воздействия (обтекания) такового потоками воды.

[Temperance]

Шорты отделились уже после попадания тела в реку вследствие механического воздействия (обтекания) такового потоками воды.

По официальной версии, сперва трупы разложились, а потом уже их по частям подхватил поток. За счет этого останки были разбросаны в долине реки. Но при разложении трупы лежали, выделяя трупные жидкости, ложе трупа и всё такое.

[ЖеняЖенечка]

Возможно, перед фотографией 0509 флешка (карта) была вытащена девушками или третьим лицом намеренно или случайно (например, задели защелку, которая держит флешку на месте, подобное случайное действие - открытие отсека с флешкой- у меня иногда происходило на фотоаппарате). Обнаружили это в момент, когда делали 0509 фотографию и вышло сообщение, что сохранить невозможно и тп. Потом флешку засунули. Если это было сделано случайно - тогда бы серия фотографий продолжилась через короткое время. Если же между фотографиями 508 и 510 большой промежуток времени - это может говорить, что флешка была вытащена намеренно, а потом ее засунули, когда понадобилось фотографировать, или ее вернули третьи лица.

[Temperance]

Возможно, перед фотографией 0509 флешка (карта) была вытащена девушками или третьим лицом намеренно или случайно (например, задели защелку, которая держит флешку на месте, подобное случайное действие - открытие отсека с флешкой- у меня иногда происходило на фотоаппарате). Обнаружили это в момент, когда делали 0509 фотографию и вышло сообщение, что сохранить невозможно и тп. Потом флешку засунули. Если это было сделано случайно - тогда бы серия фотографий продолжилась через короткое время. Если же между фотографиями 508 и 510 большой промежуток времени - это может говорить, что флешка была вытащена намеренно, а потом ее засунули, когда понадобилось фотографировать, или ее вернули третьи лица.

Случайно вытащить флешку невозможно. Чтобы ее вытащить, нужно проделать 2 действия: открыть отделение, где находятся флешка и аккумулятор, его невозможно случайно открыть, оно туго открывается, потом нажать на флешку, чтобы она отщелкнулась.
Фотоаппарат без флешки вообще не работает, на дисплее сообщение.

[Вита]

Вы говорите так:

Фотоаппарат без флешки вообще не работает, на дисплее сообщение.

GreK чуть выше утверждает обратное:

Если делать фотографию без SD-карты, фотокамера предупреждает, что карта памяти не установлена. Тем не менее можно сделать фотографию. Фотокамера сообщает, что фотография не может быть сохранена.

Так как всё же на самом деле: можно или нельзя сделать фото без флеш-карты в фотоаппарате?
В документации написано лишь про предупреждение на экране с текстом "Нет карты памяти"

[Temperance]

Так как всё же на самом деле: можно или нельзя сделать фото без флеш-карты в фотоаппарате?

Помнится, кнопка спуск вообще не действует. К сожалению, сейчас этот мой Canon на даче, как доберусь, специально посмотрю.

[helga3-1985@yandex.ru]

https://www.nrz.de/niederlande/article410461188/verschollen-in-panama-hollaenderinnen-seit-elf-jahren-vermisst.html

Немецкие авторы Кристиан Хардингхаус и Аннетт Неннер в беседе с NRZ рассказывают, почему трагедия не отпускает их.

Хардингхаус: Время от времени мы получаем жестокие угрозы от людей, которые не могут смириться с тем, что мы выяснили что-то, что не соответствует их личной теории.

Как вы думаете: был ли это несчастный случай, как предполагают панамские власти, или молодые женщины стали жертвами преступления?

Аннетт : Когда мы начинали нашу работу, мы предполагали несчастный случай. Однако в ходе нашего исследования мы пришли к выводу, что косвенные доказательства говорят об обратном. Мы верим: это было преступление.

Хардингхаус: Некоторые подозревают, что женщины заблудились в джунглях во время своего похода. Но, по мнению экспертов, там совсем нельзя заблудиться. И даже если это так, это не поддается объяснению, почему спасательные команды, которые искали их неделями, не смогли найти этих двоих ни живыми, ни мертвыми. Для меня вопрос заключается в том, имеем ли мы дело с совершенным преступлением.

Как вы объясняете скудные результаты расследования?

Хардингхаус: Есть несколько свидетельств того, что панамская полиция не следила за уликами. Почему бы и нет? Вы не можете не думать: что-то здесь не так.

Аннетт: Я задаю себе вопрос: кто-нибудь саботировал расследование? Когда я начала расследование, адвокат семьи Кремерс предупредил меня, чтобы я была осторожна. Совершенно очевидно, что в этом районе проживает поразительно много богатых американцев. Люди продолжают исчезать там – не только женщины-туристы, но и дети коренных народов. До нас дошли слухи о том, что там устраивают вечеринки ужасов: женщин гоняют по лесу, а туристы платят деньги за острые ощущения от охоты на них. Чтобы было ясно, мы не нашли никаких доказательств этой охоты на людей, и поэтому мы не писали об этом в нашей книге. Но те, кто хочет верить в этот подход, найдут доказательства этого.

[Gloster]

До нас дошли слухи о том, что там устраивают вечеринки ужасов: женщин гоняют по лесу, а туристы платят деньги за острые ощущения от охоты на них.
Это как в фильме "Трудная мишень" (1993 г.) с ван Даммом.)
Опять все то же - если бы это было так, то обязательно должна была появиться информация, по тому как много людей должно быть вовлечено. А то - 11 лет прошло, и - тишина...

[Вита]

Когда я начала расследование, адвокат семьи Кремерс предупредил меня, чтобы я была осторожна.

Похоже на иллюстрацию того, как можно на пустом месте натянуть на глобус сову.

Получается, что Аннетт вела расследование, куда-то ездила, с кем-то беседовала, раскрывала секреты, публиковала результаты... но то, что её расследование было опасным, она может подтвердить одним только лишь предупреждением голландского адвоката, сделанным до того, как её расследование началось.
Так опасно... так опасно...

[Криминайка]

Судебно-криминалистическое расследование исчезновения. iPhone (на основе данных NFI) - Панамское дело Крис и Лизанн.

 Пожалуйста, войдите или зарегистрируйтесь, чтобы увидеть защищенный текст.

[Temperance]

Протестировала свой фотоаппарат Canon Power Shot.
Без карты он снимки делает!
На экране горит надпись: "Нет карты памяти". После снимка на экране: "Не записывается!".

По поводу возможности вынуть карту памяти случайно. Как я писала выше, она находится в одном отсеке с батареей. Случайно её открыть невозможно, но если вдруг. При открытии крышки этого отсека питание автоматически отключается.

[Фото509]

Протестировала свой фотоаппарат Canon Power Shot.
Без карты он снимки делает!
На экране горит надпись: "Нет карты памяти". После снимка на экране: "Не записывается!".

По поводу возможности вынуть карту памяти случайно. Как я писала выше, она находится в одном отсеке с батареей. Случайно её открыть невозможно, но если вдруг. При открытии крышки этого отсека питание автоматически отключается.

А что с нумерацией? Допустим, сделали Вы фото №100. Потом вынули карту. Сделали фото, которое, естественно, никуда не записалось. Вставили ту же самую карту - в этом случае следующее фото которое запишется на карту будет иметь номер 101 или 102?

[Temperance]

А что с нумерацией? Допустим, сделали Вы фото №100. Потом вынули карту. Сделали фото, которое, естественно, никуда не записалось. Вставили ту же самую карту - в этом случае следующее фото которое запишется на карту будет иметь номер 101 или 102?

Номер не пропускается. Да, если, 100, то после 101, идет как и шло.

[Криминайка]

Вопросы и ответы

Разворачиваемый текст

Был ли iPhone частично непригоден для использования из-за попадания воды или влаги? Был ли сенсорный экран частично неисправен? Вышла ли из строя подсветка? Или аппаратные кнопки?

Скорее всего, нет. Хотя iPhone не является водонепроницаемым, он рассчитан на работу при влажности до 95%. Все элементы ввода (пролистывания, кнопки, клавиатурные панели, клавиатура) работали быстро и без ошибок. При проблеме с ложными срабатываниями ввод двух 4-значных кодов (пароль, последний раз введенный 6 апреля, и PIN-код SIM-карты) или плавное использование устройства практически невозможно.

Более того, клавиатуру можно переместить в три разных области экрана, повернув телефон в альбомную ориентацию. Также доступны различные функции специальных возможностей, такие как масштабирование и Assistive Touch, которые позволяют альтернативно управлять устройством или перемещать и увеличивать элементы ввода в любом месте экрана, включая те, которые необходимы для ввода PIN-кода SIM-карты. В случае отказа подсветки в темных помещениях можно использовать VoiceOver.  Все системные настройки можно прокрутить в любую часть экрана. Экстренные вызовы можно совершать с помощью двух разных раскладок клавиатуры. Вызовы также можно инициировать через голосового помощника (базовая версия Siri), который включен по умолчанию.

Дело не в необходимости знать все эти функции. Дело в том, чтобы, если у вас возникла проблема, попытаться решить её через настройки. И чтобы оставались следы этих попыток.

В июне была обнаружена умеренно вздутая батарея. Но были ли уже проблемы с батареей или падение напряжения в апреле, которые могли привести к неожиданному выключению iPhone — например, в дни с очень коротким временем автономной работы?

Вероятнее всего, нет. Крис использовал относительно новый iPhone 4 Rev. A, модель, выпущенную спустя годы после первоначального запуска. Основная проблема с частично неисправной батареей обычно заключается в падении напряжения под нагрузкой — например, при запуске приложения. iPhone может по-прежнему показывать 40% заряда батареи, но напряжение уже могло упасть ниже минимального уровня.  Некоторые сведения о состоянии батареи можно также получить из журналов ее работы, которые помогают определить, находится ли она в исправном состоянии или уже демонстрирует признаки износа или неисправности.

iPhone Криса (3 апреля, 16:00):
Емкость: 89% исправна, примерно 1 год (~250 циклов)
Напряжение: 3,75 В - соответствует 39% заряда, технически исправно

Батарея была в относительно хорошем состоянии. Никаких отклонений. Нет признаков повреждения элементов или падения напряжения. Батарея работала нормально и не была неисправна. На самом деле, эти показатели были значительно лучше, чем у двух моих батарей iPhone 4. Также есть отчеты о сбоях системы, такие как «Низкое напряжение», «Сбой питания» и «Паника ядра». Они запускаются при внезапных выключениях и обычно генерируются при следующей перезагрузке, в то время как контролируемые автоматические выключения (например, «Низкий заряд батареи») позволяют iOS немедленно зарегистрировать событие.

Тем временем я провел несколько тестов батареи - в частности, отключил закрепленную и прикрученную батарею от системы, как в выключенном состоянии iPhone, так и в режиме ожидания или активного режима. Отключения всего на одну секунду достаточно.  Во всех случаях iPhone перезагружался, отображая дату 1 января 1970 года, 1:00 утра. Время отображается как 1:00 утра, потому что информация о часовом поясе сохраняется в NAND-памяти, а 1 января — это стандартное время (не летнее). Это также подтверждает, что iPhone не мог внезапно выключиться из-за неисправной батареи или падения напряжения — в таких случаях произошла бы подобная перезагрузка.

Был ли iPhone в июне настолько поврежден водой, коррозией и т. д., что NAND-память можно было прочитать только путем извлечения чипа?

Нет. iPhone 4 использует аппаратное шифрование, аналогичное по концепции BitLocker в Windows. Вы можете физически извлечь чип NAND и прочитать его необработанное содержимое, но без работающего оригинального устройства вы не сможете расшифровать данные — ключ UID встроен в SoC A4 и не извлекается, поэтому содержимое NAND по сути нечитаемо само по себе.

Было ли возможно вернуться через Mirador с включенными телефонами, несмотря на наличие там покрытия? Были ли доступны какие-либо записи о регистрации в сети?  Когда iPhone находится в режиме ожидания, он не сразу регистрирует наличие сигнала сети. Для пробуждения iOS 7 и регистрации соединения может потребоваться до часа. До этого момента подсистема базовой полосы (собственный процессор, работающий под управлением собственной ОС) управляет связью с базовой станцией, в то время как основная система остается неактивной, экономя заряд батареи — при этом телефон остается доступным. Мобильные операторы регистрируют данные только при наличии активного соединения (звонок, SMS или мобильные данные). Данные оператора сети (например, идентификатор сотовой сети / данные регистрации базовой станции) часто хранятся временно и удаляются через несколько часов или дней. Для полицейских расследований доступ к этим данным возможен, но они могут быть недоступны задним числом, если запрос сделан слишком поздно. После этого могут остаться только приблизительные данные о последнем районе местоположения (который охватывает несколько базовых станций) или MSC (который охватывает несколько районов), чего недостаточно для определения точного местоположения.

Возврат через Мирадор мог произойти до 17:52 (когда телефоны находились в режиме ожидания) без явных доказательств или подробных данных от базовых станций. Однако для 1 апреля должны были быть доступны приблизительные данные, такие как LA = Бокете и MSC = Чирики (временная метка: последнее соединение), что исключает возврат с включенными мобильными телефонами.

Могли ли женщины быть обнаружены путем увеличения мощности передачи ближайших базовых станций или с помощью IMSI-перехватчика (Dirtbox)?

Вероятнее всего, нет, по крайней мере, после утра 3 апреля. Увеличение мощности передачи ближайших базовых станций не было бы эффективным, поскольку важна не дальность действия вышки, а способность телефона к подключению. С 5 апреля PIN-код SIM-карты не вводился.  В режиме полевых испытаний iPhone (*3001#12345#*) можно наблюдать, как iPhone пассивно принимает широковещательные сигналы и воздерживается от инициирования активной связи или поиска базовых станций, если только это не вызвано экстренным вызовом или вводом PIN-кода SIM-карты. В таких случаях он отправляет запрос на подключение; базовая станция (или IMSI-перехватчик) отправляет запрос на аутентификацию, и iPhone отвечает своим IMSI, TMSI или IMEI. В этих условиях также возможны «скрытые SMS».

IMSI-перехватчик, установленный на вертолете, может временно выступать в качестве мобильной сети для обнаружения и отслеживания телефонов. Вероятно, iPhone находился в режиме «Поиск... » всего несколько секунд, прежде чем выключиться. В течение некоторых сеансов телефон мог кратковременно передавать сигнал, который затем мог быть обнаружен IMSI-перехватчиком. Однако за такой короткий промежуток времени вертолет должен был находиться в непосредственной близости от устройства.  Эти короткие периоды включения значительно ограничили бы эффективное отслеживание местоположения — и, вероятно, полностью исключили бы его. Уровень заряда батареи 3 апреля был бы достаточен для 10 часов работы в режиме ожидания в сутки. В этом случае отслеживание местоположения с помощью IMSI-перехватчика, вероятно, было бы возможно.

Выключался ли iPhone вручную с помощью жеста после часа работы 11 апреля?

11 апреля Нидерландский институт судебной экспертизы (NFI) воспроизвел ситуацию на тестовом iPhone 4, предоставленном группой цифровых расследований полиции Нидерландов, чтобы выяснить, мог ли iPhone Криса оставаться включенным до полной разрядки батареи 11 апреля. Для этого данные с тестового телефона были извлечены с помощью Cellebrite UFED и проанализированы с помощью Encase. При уровне заряда батареи 10% iPhone отображает предупреждение пользователю. Однако это не активирует функцию защиты «автоматическое выключение с LowBatteryLog/Crash Report». Это происходит позже. Последняя запись LowBatteryLog/Crash Report на iPhone Криса датирована 24 марта, когда телефон автоматически выключился в Бокас-дель-Торо из-за недостаточного напряжения батареи. Отсутствие такого отчета о сбое (LowBatteryLog) 11 апреля позволило NFI сделать вывод, что iPhone был выключен вручную.

Однако NFI упустил из виду тот факт, что в журнале LowBatteryLog отсутствует запись о разрядке батареи iPhone в спящем режиме. На самом деле происходит следующее: iPhone вообще не включается, когда заряд батареи очень низкий; вместо этого на экране появляется сообщение «требуется заряд». Например, он выключается при 1% или 2% (иногда даже при 7%, в зависимости от напряжения), но не включается снова, пока заряд не достигнет примерно 4%. Этот буфер загрузки обеспечивает достаточное питание для запуска устройства, а также означает, что у телефона достаточно заряда батареи для работы в режиме ожидания в течение 10 часов.

11 апреля, согласно моему 8-дневному тесту, у iPhone при включении оставалось около 30% заряда батареи. Крайне маловероятно, что кто-то мог разрядить батарею до 1-5% активными способами (например, используя фонарик) без автоматического выключения телефона с сообщением о сбое. Даже при 1% заряда батарея могла бы проработать до 3 часов в режиме ожидания.  Если iPhone используется только через экран блокировки и Центр управления, без каких-либо подключений (нет сотовой связи, Wi-Fi или Bluetooth), практически невозможно разрядить 30% батареи за час — если только вы не используете фонарик (который, однако, выключается при 3%). Следовательно, вывод: NFI, скорее всего, прав, даже несмотря на то, что они не учли сценарий ожидания. Обратите внимание, что в режиме DFU отсутствует запись LowBatteryLog, поскольку система регистрации данных не активна.
https://christian-hardinghaus.de/de/kris-und-lisanne-fall-forensik/

[Криминайка]

Технические характеристики

Разворачиваемый текст

Результаты этого исследования основаны на данных NFI и полевых тестах, проведенных с двумя моими iPhone 4, которые имеют ту же аппаратную и прошивку, что и iPhone Криса.

iPhone 4 Криса
Модель A1332 Rev. A (3,2) - A4 SoC-8 ГБ - Прошивка iOS 7.0.6 | Время работы в режиме ожидания около 300 часов, в рабочем режиме до 10 часов | Основная камера 5 МП (2560 x 1920 пикселей)

iPhone 4 был оснащен компасом, трехосевым гироскопом и акселерометром. Однако непрерывная фоновая запись и регистрация данных о движении стали возможны только с внедрением энергоэффективных сопроцессоров движения, впервые включенных в iPhone 5S.

В iPhone Криса было установлено голландское время, то есть панамское время плюс 6 часов.  Автоматическая корректировка часового пояса на основе обнаруженного местоположения (через Wi-Fi, службы определения местоположения или GPS) не сработала — ни на её телефоне, ни на моих тестовых устройствах. Однако автоматическое переключение на голландское летнее время 29 марта в 20:00 по местному времени сработало корректно. С этого момента смещение времени стало соответствовать панамскому времени плюс 7 часов. iPhone был защищен 4-значным паролем и 4-значным PIN-кодом SIM-карты.

Соответствующие вышки сотовой связи рядом с Пианистой в 2014 году
(Расстояния: тропа 2-4 км, смотровая площадка 5 км)

Карта покрытия Digicel (архив)
Партнеры по роумингу в Нидерландах: T-Mobile (Крис) / Vodafone

ASEP Panama

Digicel coverage map (archived)

Альто/Бахо Лино, высота 1200 м, Digicel, вышка 60 м
https://maps.app.goo.gl/tWXhD1TUSPSK3A1K9

Харамильо, высота 1200 м, SBA Торрес, вышка 80 м
https://maps.app.goo.gl/eV5zxHPpdMNhPoNi8

Альто Кьель, высота 1400 м, Digicel, 60 м  вышка
https://maps.app.goo.gl/RxNnxKvLgse7xm8g8

По данным Slip, Крис (T-Mobile) и Лизанн (KPN NL) смогли совершать голосовые звонки и отправлять SMS в Панаме. Обычно для этого не требуется официальный договор о роуминге — как правило, достаточно, чтобы у операторов был заключен базовый роуминговый договор, даже несмотря на то, что использование этой услуги может быть дорогим.

Журналы зависания | Заглушки

Эти журналы не содержат измеренных в реальном времени значений. Вместо этого они записывают либо ранее измеренное значение (зависание), либо значение-заглушку (заглушку).

Пример сценария: Вы можете обернуть iPhone алюминиевой фольгой на станции Мирадор, доставить его вертолетом в Амстердам, а затем вынуть из фольги, находясь в зоне отсутствия сотовой связи. Устройство продолжит записывать последнее фактически измеренное значение с Мирадора (журнал зависания, показывающий значение dBm и 1 полоску сигнала). Если затем вы перезагрузите телефон, находясь в зоне отсутствия сигнала в Амстердаме, он запишет «значение-заглушку» -113 dBm, 1 полоску сигнала (заглушка). iPhone 4S может измерять и записывать значения сигнала ниже -113 dBm, в то время как iPhone 4 — нет.

«Уязвимость» в оперативной памяти/NAND флэш-памяти iOS 7 (защита данных iOS)

Примерно через минуту или чуть больше после включения iPhone начинается процесс Powerlog, который записывает данные (например, уровень сигнала, уровень заряда батареи, использование приложений и т. д.). Например, после часа использования генерируется несколько сотен записей в режиме реального времени. В iOS 7 эти записи хранятся в энергозависимой оперативной памяти до первой разблокировки телефона. При разблокировке iPhone путем ввода пароля записи Powerlog записываются в NAND флэш-память, даже задним числом, при этом новые записи сохраняются непосредственно в NAND в режиме реального времени. Однако, если iPhone выключить до разблокировки, записи теряются, то есть записи Powerlog становятся недоступны, несмотря на час использования.

Потеря записей по сути является побочным эффектом базовых политик безопасности и защиты данных, хотя, например, уровень заряда батареи не связан с конфиденциальными данными. Вот почему я называю это «уязвой».

Техническая информация (NSFileProtection CompleteUntil FirstUserAuthentication):

Руководство по безопасности Apple: https://support.apple.com/de-de/guide/security/secb010e978a/web

Технический блог: https://blog.angelovillegas.com/ios-data-protection/

Подробная статья (на немецком языке): https://www.heise.de/hintergrund/iOS-Verschluesselung-durchleuchtet-2066500.html

FSEvents

События файловой системы (FSEvents) — это тип журнала файловой системы, содержащий множество информации для криминалистического анализа — информации, которая, вероятно, не была проанализирована NFI или их инструментами криминалистического анализа.  Среди прочего, каждое использование iPhone (за исключением режима DFU) оставляет после себя два скрытых файла в двух скрытых каталогах с метками времени, точными до секунды, которые четко указывают на точное время выключения устройства. NFI провела анализ активности файловой системы, поэтому они проверили метки времени файлов FSEvent.

Дополнительная информация:

Архивированная статья: Archived article: Apple FSEevents-Forensics - Nicole Ibrahim
Блог: https://www.hexordia.com/blog/mac-forensics-analysis

Экстренные вызовы | Call History.db

Используя эту базу данных SQLite, можно отследить все звонки и попытки звонков, включая такие детали, как метка времени, номер телефона, сетевое соединение и продолжительность звонка. Аналогичные данные также записываются в Powerlogs, хотя и без записи номера телефона.

Экстренные вызовы можно совершать без ввода пароля или PIN-кода SIM-карты с помощью функции экстренного вызова на экране блокировки.  Хотя «баг» в оперативной/NAND-памяти препятствует постоянному сохранению записей Powerlogs при выключенном iPhone без предварительной разблокировки, он не мешает записывать попытки экстренных вызовов в базу данных истории звонков. После утра 3 апреля попыток экстренных вызовов не было — в противном случае они были бы записаны в историю звонков.

Экстренные вызовы возможны в любой доступной сети. Это означает, что их можно совершать даже тогда, когда телефон показывает «Нет сети» или «SIM-карта заблокирована».

Снимки состояния

При использовании приложений на iOS 7 система автоматически создает снимки «последнего состояния» — по сути, скриншоты последней активности пользователя в каждом приложении. Технически это происходит, когда приложение закрыто или приостановлено, но не когда телефон выключается, а приложение все еще открыто. И только если телефон изначально был разблокирован.

Эти снимки могут фиксировать что угодно: от черновика SMS-сообщения до изменения или проверки настроек (как видно на скриншоте «Настройки -> Центр управления» от 2 апреля) или даже приложения «Телефон» -> «Телефон» (как 3 апреля в 9:33 утра). И экран «Телефон» от 3 апреля в 9:33 утра (время последнего экстренного вызова), и контакт «Mytiam» в 16:02 того же дня были получены через приложение «Телефон». Тот факт, что для обеих действий существуют отдельные снимки «последнего состояния», объясняется тем, что у приложения «Телефон» есть свой собственный снимок. Каждый раз, когда приложение используется снова, его предыдущий снимок «последнего состояния» перезаписывается.  Цель этих снимков — обеспечить отображение изображения в реальном времени для анимации затухания при закрытии приложения, а также для отображения в переключателе приложений (доступ к которому осуществляется двойным нажатием кнопки «Домой»).

Если одно из немногих приложений Центра управления запускается с экрана блокировки, и iPhone защищен паролем, iOS 7 не сохраняет снимок «последнего состояния». Следовательно, приложение «Мировые часы» должно было быть открыто с главного экрана в 10:27 утра 6 апреля, что означает, что пароль был введен в это время. Такое поведение также связано с «ошибкой» в оперативной памяти/памяти (RAM/NAND), а именно с защитой данных iOS. NFI, похоже, не знала об этом, поскольку они предполагают, что пароль мог быть не введен в это время, так как приложение «Часы» является частью Центра управления, к которому также можно получить доступ без пароля.

Вот как это выглядело, например, при открытии приложения «Часы» 6 апреля в 10:27 утра:

Журналы загрузки

20:28:11 Включение питания
Вт 3 сен 20:28:36 2024 main: Запуск [Время запуска NFI]
Вт 3 сен 20:28:46 2024 dealwith activation: Поиск записи для ICCID
228672635330891650
Вт 3 сен 20:29:16 2024 Статус SIM-карты: KCTSIMSupportSIMStatusReady

Журналы питания
09/03/24 20:29:18 [Log] state-booting; loggingMode=Lite; binary aggregated;

09/03/24 20:29:18 [Display] active-yes;  яркость-79.0%;
пользовательская яркость <неизвестно>; als отключено; mie-off; ползунок-51777; мНитс=0;
09/03/24 20:29:18 [SpringBoard-screens) Screens=lockscreen;

09/03/24 20:29:18 [WiFi Module]
09/03/24 20:29:18 [Telephony] current_rat=Dual; preferred_rat UMTS; camped_rat-Unknown; статус вызова Inactive; airplane_mode=off; сигнал=-113 дБм; bars=1;

09/03/24 20:29:18 [Baseband State Durations)
09/03/24 20:29:18 [WiFi] статус off;

09/03/24 20:29:18 [SpringBoard-states] screen_state=unblanked; lock state-locked,
09/03/24 20:29:18 [LoggedWake] reason-hold;

09/03/24 20:29:19 [Battery) level=58.32%; voltage-3842 mV; current=-4 mA; current_capacity-589 mAh; raw_max_capacity=1010 mAh;
charging state-Inactive; charging_current=0 mA; battery_temp=27.70 C
adapter_info=0; connected_status=0;

09/03/24 20:29:24 [SpringBoard-states] screen_state unblanked;

Состояние блокировки разблокировано,
09/03/24 20:29:24 [SpringBoard-screens] Screens=homescreen;

Режим DFU | SSH Ramdisk
Пример видео:

https://www.youtube.com/watch?v=1dh5loiX1dU#

В низкоуровневом режиме DFU можно получить доступ к iPhone, не оставляя видимых следов — даже без джейлбрейка или пароля — используя SSH-диск в оперативной памяти. Такой доступ позволяет, помимо прочего, удалять, изменять или создавать фотографии. В режиме DFU (обновление прошивки устройства) iPhone ведёт себя так, как если бы батарея была разряжена: экран остаётся выключенным, и устройство нельзя включить обычным способом. Если батарея физически заменена или полностью разряжена, режим DFU автоматически выходит. Важно отметить, что если батарея полностью разряжается в режиме DFU, отчёт о низком заряде батареи не создаётся.

Режим DFU идеально подходит для скрытого доступа и манипуляций, поскольку вся система iOS, включая систему логирования (например, Powerlogs), вообще не загружается. Однако вход в режим DFU чувствителен к моменту и подвержен ошибкам; небольшая ошибка может привести к нормальной загрузке телефона, что может затем привести к созданию непреднамеренного журнала запуска.

 Журналы загрузки (lockdownd) записывают, помимо прочего, ICCID (идентификатор интегральной микросхемы) и корректный ввод PIN-кода SIM-карты. Также они записывают время запуска в журнал «Запуск», которое происходит примерно через 25 секунд после включения питания. Журнал «Запуск» присутствует в каждой сессии ежедневно.

Ввод пароля не записывается в журнал, но в некоторых случаях его можно косвенно определить.

iPhone сохраняет ежедневные журналы энергопотребления (заряд батареи, сигнал, использование приложений и т. д.) в файл с именем
\Logs\CurrentPowerlog.powerlog (за текущий день).

Перед созданием нового журнала файл CurrentPowerlog.powerlog за предыдущий день (или день последнего использования) архивируется в папку: \Logs\PLArchive.

Для каждого дня создается отдельный файл журнала энергопотребления.

31 марта: \Logs\PLArchive\PL_2014-03-31-Blabla.powerlog.gz

1 апреля: \Logs\PLArchive\PL_2014-04-01-Blabla.powerlog.gz

2 апреля: \Logs\PLArchive\PL_2014-04-02-Blabla.powerlog.gz

3 апреля: \Logs\CurrentPowerlog.powerlog

Журнал за 3 апреля так и не был заархивирован, поскольку после этой даты никаких новых записей Powerlog не создавалось.

Почему?

4-6 апреля: Время включения было слишком коротким для запуска записи в журнал.

11 апреля: Возможно, из-за «ошибки» в ОЗУ/NAND или ручного вмешательства через режим DFU.

Температура батареи

iPhone 4 регистрирует температуру батареи с помощью внутреннего датчика, расположенного рядом с батареей. Это часть функций безопасности iOS 7, которые могут автоматически выключать устройство и создавать отчет о сбое при обнаружении таких условий, как нестабильное напряжение (≤ 3,0 В) или критические температуры (50-60 °C).

1 апреля iPhone находился в режиме ожидания и, вероятно, большую часть времени провел в рюкзаке, что может привести к некоторому накоплению тепла внутри из-за ограниченной циркуляции воздуха. Когда температура батареи измеряется всего через несколько секунд после включения — как это было 2 и 3 апреля — значительного накопления тепла внутри еще не наблюдается. После включения из полностью выключенного состояния температура батареи очень близка к температуре окружающей среды.

При ношении в кармане джинсовых шорт телефон постепенно адаптируется к температуре тела. Например, если его выключить и держать в кармане в течение часа при температуре окружающей среды 22 °C, температура iPhone может достичь примерно 32 °C.  Однако в данных о заряде батареи за период с 1 по 3 апреля таких значений температуры не зафиксировано.

Анализ активности устройства — предварительные результаты: журналы потребления энергии iPhone и разряд батареи Samsung

iPhone: Отсутствующие журналы потребления энергии — 1 апреля

За три часа до экстренного вызова 1 апреля и за час после него было зарегистрировано приблизительно 1100 записей в журнале потребления энергии. Это говорит о спорадическом использовании, например, проверке дисплея каждые 15–20 минут, поскольку iPhone потреблял очень мало энергии батареи.

Каждый файл журнала потребления энергии содержит большое количество записей. Журналы заряда батареи и уровня сигнала составляют лишь небольшую их часть. NFI указала номера строк в файлах журнала потребления энергии только для журналов уровня сигнала. Это позволяет нам определить общее количество записей между двумя моментами времени.  Например, 1 апреля было около 5800 записей PowerLogs, а 2 апреля — всего около 120. Важно отметить, что файл Powerlog за 1 апреля фактически начинается 31 марта в 17:00 и заканчивается 1 апреля в 17:00. Вскоре после экстренного вызова с точки зрения iPhone уже было за полночь, поэтому записи после 17:00 были включены в файл Powerlog за 2 апреля.

При загрузке и кратковременном использовании iPhone генерирует около 120 записей PowerLogs. При ручном выходе из режима ожидания или сна (т.е. при включении дисплея) он генерирует около 60 записей PowerLogs за одно пробуждение. В режиме ожидания или сна это обычно происходит один раз в час всего на несколько секунд — возможно, два раза в час.  По какой причине NFI могла пропустить, например, около 800 отсутствующих записей в журнале за три часа до экстренного вызова? Никакой существенной активности пользователя (например, использования приложений) или изменений значений сигнала не было зафиксировано. Тем не менее, в период с 13:38 до 16:38 есть десятки записей о заряде батареи и уровне сигнала (все Freeze -94 дБм, 1 полоска).

Samsung: Разряд батареи

1 апреля заряд батареи упал на 15% в период с 14:40 до 16:40. Такое падение обычно происходит только в том случае, если дисплей был включен в течение длительного времени. В ночь со 2 на 3 апреля, когда Samsung был включен 15 часов, было зарегистрировано 58 записей о заряде батареи: 16 ежечасных (запущенных системой, в зависимости от времени загрузки) и 42 непериодических записи, которые могут указывать на активность дисплея (оранжевые точки; см. диаграмму на странице 12).  16-часовые записи о состоянии батареи неизменно фиксировались на 19-й минуте, поскольку Samsung был загружен в 16:19 (см. ось Y на графике на странице 12). Для сравнения, за 15 часов с полуночи до 15:00 31 марта было всего 23 записи о состоянии батареи — 16 почасовых и 7 непериодических.

31 марта и 1 апреля почасовые записи о состоянии батареи всегда сохранялись на 40-й минуте, поскольку Samsung был загружен, например, в 10:40 30 марта. Таким образом, мы видим записи в 10:40, 11:40, 12:40 и так далее — каждый час с 10:40 30 марта до 17:40 1 апреля. Большинство временных меток, не заканчивающихся на :40, можно связать с известными действиями пользователя.  В непериодические записи включены такие моменты времени, как 13:06 (Wi-Fi), 13:38 (Wi-Fi) и 14:01 (фотогалерея). Соответственно, это подтверждает вывод о том, что дисплей был включен, например, в 12:12 1 апреля у входа в лес со стороны Бокете у Пианисты (Google Maps). Не каждая активность приводит к записи данных о заряде батареи, вероятно, потому что кратковременное использование не влияет на уровень заряда батареи и не запускает запись данных.

Android отправляет широковещательные сообщения, управляемые событиями, при изменении уровня заряда батареи, например, после небольшого снижения в процентах (например, ACTION_BATTERY_CHANGED). Это происходит особенно часто, когда дисплей включен, поскольку он является самым большим потребителем энергии. Фоновая служба приложений (как в данном случае: WhatsApp) может пассивно получать эти «липкие» широковещательные сообщения и регистрировать уровень заряда батареи как в ответ на новые события, так и путем получения последнего «липкого» значения. В ночь со 2 на 3 апреля могли быть сгенерированы дополнительные события ACTION_BATTERY_LOW, поскольку уровень заряда батареи уже был ниже 20%. Активность пользователя, показанная на диаграмме на странице 12 (оранжевые точки), вероятно, можно определить только при заметном снижении уровня заряда батареи. Похоже, что в сессии 2 апреля в 16:19 был добавлен примерно 20-минутный триггер по сравнению с 31 марта и 1 апреля — или система увеличила свою чувствительность или частоту широковещательных сообщений.

 По крайней мере, описанная выше закономерность расхода заряда батареи правдоподобна — и для 31 марта и 1 апреля она подтверждается известными данными об активности. Однако два случая разряда батареи Samsung — -15% за два часа до экстренного вызова 1 апреля и 17% за 15-часовую ночь — не совпадают друг с другом и не соответствуют тому, что можно было бы ожидать в режиме ожидания, особенно учитывая отсутствие сотовой связи в обоих случаях. Весьма вероятно, что яркость дисплея была снижена, например, на 80% в ночь со 2 на 3 апреля. Это привело бы к существенной разнице в энергопотреблении по сравнению с 1 апреля.
https://christian-hardinghaus.de/de/kris-und-lisanne-fall-forensik/

[Криминайка]

Отчет NFI

Разворачиваемый текст

Запрос о юридической помощи. Пятница, 20 июня 2014 года.Через девять дней после обнаружения рюкзака в офис министра юстиции Нидерландов Иво Блем-Обстеля приходит запечатанный пакет. Отправитель — Генеральная прокуратура Республики Панама. Внутри находятся мобильный телефон Лизанн, ее цифровая камера и рюкзак. Также в пакете находятся мобильный телефон Крис и бюстгальтеры двух женщин. Прилагается запрос о юридической помощи от правительства Панамы для предварительного расследования предполагаемого преступления похищения людей в отношении Лизанн Фрон и Крис Кремерс на основании конвенции ООН о расследовании транснациональной организованной преступности. Уже вскоре после исчезновения девочек нидерландские власти предложили помощь Панаме, которая теперь официально возможна. Правительство Панамы направляет краткое пятистраничное резюме известных фактов и проведенных на данный момент расследований. В частности, запрашивается техническая помощь для извлечения содержимого электронных устройств и получения ДНК-профилей или пятен крови с нижнего белья и рюкзака. Как только результат будет готов, их следует отправить по почте или электронной почте прокурору Бетсайде Питти или судебному эксперту Диомедесу Трехосу в IMELCF. Голландские коллеги не были проинформированы о том, что институт уже изучил, по крайней мере, данные с электронных устройств. Однако они отмечают, что некоторые фотографии на SD-карте были отредактированы 17 июня 2014 года. Поэтому оригиналы недоступны для расследования NFI. Следователи NFI также не были проинформированы о текстовых сообщениях и контактах, уже полученных с телефона Лизанны. Панамские власти также отказались от дальнейших комментариев по поводу этих данных, которые они зарегистрировали. После положительного ответа голландской прокуратуры на запрос о юридической помощи, группа по расследованию нераскрытых дел Национальной полиции Центральных Нидерландов получила задание подготовить экспертное заключение. Данный отчет зарегистрирован в Панаме под официальным номером RHV 02 и кодом документа 092. Руководитель расследования поручает Национальной криминалистической службе (NFI) в Гааге провести первоначальный анализ. Голландские эксперты-криминалисты обнаружили в запечатанных конвертах следующие предметы. От Криса Кремерс: черный iPhone 4, батарея и SIM-карта прикреплены к устройству скотчем; зеленый защитный чехол для мобильного телефона; черный бюстгальтер без логотипа. От Лизанн Фрон: белый Samsung Galaxy S3 Mini, батарея и SIM-карта прикреплены к устройству скотчем; дополнительная новая батарея, использованная и предоставленная панамскими властями; оранжевый защитный чехол для мобильного телефона; бюстгальтер с ярким цветочным узором от H&M; черный рюкзак Burton с сине-серым ромбовидным узором и бирюзовой подкладкой; черный цифровой фотоаппарат Sx 270 HS; батарея и карта памяти SanDisk 16 ГБ прикреплены к устройству скотчем.

Добавлено позже:
Рюкзак и бюстгальтеры

Разворачиваемый текст

Рюкзак исследуется NFI на наличие нечеловеческих биологических следов. На ремнях криминалисты обнаруживают желтовато-коричневую глину, происхождение которой они не могут установить. Она могла попасть туда с места находки, во время транспортировки к месту или от места находки, или могла быть нанесена при распаковке рюкзака. Внутри компетентные эксперты анализируют фрагменты растений и листьев, а также рыхлый песок (мы можем предположить, что песок равно как и не исследованные и не отправленные в NFI ракушка и раковина улитки, происходят с пляжа Бокаса), которые не могут быть далее идентифицированы. Чтобы вообще установить, происходят ли эти следы из реки, NFI рекомендует панамским коллегам взять эталонные образцы на месте обнаружения останков. Кроме того, биологи обнаруживают белую раковину и частицы пластика. Согласно текстильному исследованию, рюкзак находится в хорошем общем состоянии, но загрязнен. Крепление одного из плечевых ремней частично ослаблено из-за распустившегося шва, что криминалисты объясняют обычным использованием. Пластиковые застежки имеют глубокие царапины, а ткань в нескольких местах- белые пятна. Согласно отчету, это также следы физического износа. На материале есть только две особенности. На поверхности отсутствует прямоугольный кусок ткани размером примерно 30х15мм. Оставшиеся концы нитей изношены. Это указывает на повреждение в результате разрыва. Шов вырезан с последующим истиранием. Рядом с повреждением в материале имеется разрез длиной около 10 мм, возможно, также след от прокола. Компетентный криминалист предполагает, что оба повреждения были вызваны острым предметом. Хотя в отчете нет спекуляций по этому поводу, по описаниям это мог быть удар ножом или небольшой мачете, так как повреждения прямолинейны. Это противоречит версии о естественном предмете, который мог бы вызвать повреждение. Против этого также говорит обнаружение полиэстер уретана  в месте прокола с помощью инфракрасной микроспектрометрии. Согласно нашим исследованиям, этот специальный мягкий пластик используется для оболочек, в том числе для покрытия ножен тактических и военных ножей. Вполне возможно, что повреждение было вызвано таким оружием, которое часто носят как проводники, так и туристы в этом районе. Это, конечно, ничего не говорит о преднамеренном нападении или времени повреждения. На обоих бюстгальтерах биологическое исследование также обнаруживает фрагменты растений и песок. На бюстгальтере Крис также прозрачные пластиковые частицы неизвестного происхождения. Металлические части нижнего белья согласно отчету, слегка заржавели. Ни на рюкзаке, ни на бюстгальтерах криминалисты не находят следов крови. Из шести образцов, взятых с бюстгальтеров (Один из образцов был загрязнен и в качестве донора был проанализирован сотрудник NFI), ДНК не может быть обнаружена. Из 13 образцов, полученных с рюкзака, ДНК может быть извлечена, но с помощью сравнительных образцов она не может быть отнесена ни к Крис, ни к Лисанн. Два полностью сохранившихся профиля ДНК принадлежат разным неизвестным женщинам, которые после сверки не зарегистрированы в Нидерландской базе данных ДНК по уголовным делам. Кроме того, могут быть получены части генетического материала по крайней мере трех других неизвестных лиц, из которых по крайней мере одно мужского пола. Почти можно предположить, что два профиля ДНК принадлежат Луису и Ирме, но, несмотря на рекомендацию NFI, образцы ДНК не берутся у нашедших рюкзак или других лиц, которые могли контактировать с исследуемым предметом, чтобы подтвердить или исключить это.

Добавлено позже:
Фотографии. Судебно-медицинский анализ.

Разворачиваемый текст

Только данные, извлеченные с мобильных телефонов и камеры, позволяют попытаться восстановить события после исчезновения Крис и Лисанн. Ни панамские, ни нидерландские власти не предприняли адекватных мер. Полученная информация содержит так много несоответствий, что убедительная реконструкция до сих пор кажется невозможной. Поскольку часть данных была слита в прессу, циркулируют также дикие спекуляции. На камере судебные эксперты NFI не обнаружили следов ДНК. Дактилоскопическое исследование выявило три отпечатка пальцев, из которых можно составить полный профиль. Однако этот профиль отсутствует в нидерландских базах данных. Неизвестно, пытались ли панамские власти установить личность человека. Анализ SD-карты проводит высококвалифицированный цифровой криминалист. Его задача-восстановить и оценить все возможные фото и видео файлы. В общей сложности эксперт обнаруживает на карте памяти 470 фото файлов в формате JPG и семь видео записей в формате PBM-4. Из-за отсутствия функции GPS в камере невозможно определить геокоординаты. Немногочисленные удаленные файлы при ближайшем рассмотрении оказываются лишь миниатюрами существующих фотографий и изображений. Возможно, панамские следователи удалили их в ходе собственных расследований. По некоторым из оригинальных изображений, приложенных к делу, мы можем по их документации определить, что они были предварительно обработаны на ПК и сохранены в измененном виде обратно на SD-карте. Почему власти сохранили измененные версии на оригинальной карте памяти, а не на компьютере, вызывает вопросы. Ведь в таком случае это уже не оригинальные файлы. Криминалист NFI не упоминает это зловещее обстоятельства явно, но в комментарии к трем снимкам отмечает, что они, вероятно, были перевернуты. Было ли это в конечном итоге действительно только поворот изображений или было отредактировано что-то еще, невозможно установить по данным EXIF. Также невозможно понять, были ли уже произведены манипуляции и изображениями. В NFI исследуются только те файлы изображений, которые были созданы после 31 марта 2014 года, то есть после исчезновения девушек. Дата сохранения изображений, согласно отчету, в данных EXIF указана как 2013 год. Для своего анализа эксперт изменяет дату на 2014 год в соответствии с данными о пребывании Крис и Лисанн в Панаме. С помощью сопоставления фотографий, на которой девушки изображены в аэропорту Амстердама, и другой, сделанной после их прибытия в Панаму и изображающей наручные часы, криминалист устанавливает, что установленное время камеры соответствует нидерландскому зимнему времени ( Даже после перехода в ночь с 29 марта на 30 марта 2014 с зимнего (MEZ / UTC+1) на нидерландское летнее время (MESZ / UTC+2) было сделано заключения, что время на камере не переключалось автоматически ). Для определения правильного времени криминалист использует несколько фактов: временные метки фотографии Samsung, сделанных в тех же местах. Условия освещения и теней, а также облачные образования. И из этого он делает вывод, что камера все еще была настроена на домашнее время. Чтобы определить панамское местное время, он последовательно вычитает шесть часов из отображаемого времени. Нидерландские криминалисты не включают содержание изображений в свой анализ. Упущение позволяет то, что видно на фотографиях, но дает ключ к разгадке местонахождения пропавших без вести. Нидерландцы, по указанию панамских властей, исходят из предположения, что снимки были сделаны на тропе Пианиста. Однако это можно однозначно подтвердить только для фотографий на стороне горы, обращенной в Бокете. Всего на карте памяти обнаружено 133 фотографий с датой создания после 31 марта 2014 года, пронумерованные от IMG 0476 JPG до IMG 0609 JPG. Грубо можно выделить две категории дневные фотографии от 1 апреля и ночные снимки от 8 апреля, сделанные после семидневного перерыва, который до сих пор является горячей точкой споров в интернете. Ни одна из известных сегодня фотографий никогда не попадала в публичное пространство через официальные источники, все они были слиты различными группами лиц. Ниже мы покажем наиболее яркие изображения в оригинале и рассмотрим распространенные интерпретации и противоречия. При этом мы также включим собственные интерпретации. Из полицейского досье нами известны дополнительные, ранее не публиковавшиеся фотографии. Однако, по нашей оценке, они не содержат новых сведений об исчезновении девушек, в основном это вариации ракурсов уже известных мотивов или неудачные снимки.

Добавлено позже:
Дневные фотографии

Разворачиваемый текст

Из 33 фотографии, сделанных Крисом и Лисанной 1 апреля во время их похода, 22 являются общеизвестными. Первое изображение имеет номер 476 и, если верить камере, а не свидетелям, было сделано в 11:18 утра в нижней части тропы Пианиста со стороны Бокете. На вертикальном снимке Крис изображена на втором мосту, который ведет через реку Пианиста за фермой Арко Ирис. Мост и сегодня такой же, он скрипит при ходьбе и дает хорошее представления об остальной части пути, которая становиться все более труднее после двух мостов. Мост не цельный, а состоит из отдельных железных перекладин, которые подниматься и опускаются, когда на них наступаешь. Через их отверстия открывается вид на воду снизу. На снимке 480 в 11:25 впервые видна Лисанн. Она стоит на тропе и смотрит вдаль. За ней возвышаются поросшие зеленью холмы, предвещая что через несколько сотен метров начинается девственный лес. Одежда девушек на фотографии является одной из самых больших загадок дела. Ведь очевидцы, которые утверждают, что видели Крис и Лисанну несколько часов спустя, описывают их иначе. Они были в совершенно других нарядах. Общие данные, такие как возраст, рост, цвет волос и кожи совпадают довольно точно. Но ни один свидетель никогда не видел девушек в одежде от 1 апреля: красно-белой полосатом топике и обтягивающих светло голубых джинсах. А также бирюзовой майке и темных шортах. Вместе этого речь идет о белых и темных топах, кремовых шортах и черных обтягивающих бриджах. Последние, в частности, казалось необычным на месте и были подробно описаны несколькими свидетелями. Это мы узнаем не только из показаний в протоколах. Соседка Мириам, Вероника одна из немногих, кто видел их видел Крис и Лисанну в день их исчезновения. Она говорит нам, что уверена, что девушки, когда она видела, как они покидали дом Мириам 1 апреля около 9 утра, не были одеты так, как на фотографиях. Она также говорит  о бросающихся в глаза бриджах Лисанны и белом топе Крис. Однако, по ее словам они были настолько заметны, что должны были привлечь внимание многих людей. Вероника - которая разговаривала с Крис и Лисанн за несколько дней до этого, не верит что они, что они собирались идти по тропе Пианиста. “При время нашей последней встречи я пригласила их на свой день рождения". То, что Крис и Лисанн также имели комплект одежды, описанные свидетелями, можно однозначно увидеть на других известных фотографиях. Кроме того, сын Мириам, Амилькар, в своих показаниях описывает, что девушки часто носили черкес под кoторым он подразумевает именно такие обтягивающие бриджи. По словам свидетелей, наблюдаемые иностранки выглядели уставшими, измотанными и дезориентированными. На фотографиях этого не видно. Так же, как и плохое состояние здоровья Лисанны, описанное Мириам, или солнечный ожог Крис, который, по словам Эйлин, она заметила день их исчезновения. Конечно, внешний вид может быть обманчивым. Но одни рыжие волосы Крис, делают крайне маловероятным, что 1 апреля другая пара туристов с такими же чертами прошла по тропе Пианиста, всего три часа спустя прошла и в другой одежде. Если бы такие двойники существовали в Бокете в то же время, они, несомненно, были бы найдены, учитывая интенсивные поиски. Следователи тогда опросили все хостелы и отели региона на предмет молодых женщин, подходящих под описание. Ни одно заведение не размещало в момент исчезновения гостей, похожих на Крис и Лисанну. Кроме того, в случае пары двойников было бы трудно поверить, что эти женщины, несмотря на призывы свидетелей, не обратились в полицию в 2014 году. Или что в эпоху социальных сетей они никогда не обратили бы внимания на одно из самых известных дел о пропавших без вести. В интернете циркулируют многочисленные теории о том, что дневные фотографии были манипулированы с помощью кадрирования, то есть Крис и Лисанн были вырезаны из других изображений и вставлены в на тропу Пианиста. Это было бы, покрайней мере, логичным объяснением значительных расхождений во времени похода и одежды девушек. Теоретическая возможность для этого существует, и мы также замечаем, что определенные области выглядят странно искаженными и размытыми, что довольно не типично для используемой камеры. Эта нечеткость не проявляется на фотографиях девушек сделанных до их похода по тропе Пианиста. Наоборот снимки всегда выглядят резкими и четкими. Однако до сих пор никто не смог доказать, что было произведено манипулирование с помощью кадрирования. С другой стороны, никто не доказал и обратное. Мы задали нескольким экспертам вопрос, позволяют ли фотографии сделать выводы о кадрировании, и не получили удовлетворительного ответа. Это крайне маловероятно - слышим мы в унисон, - но исключать нельзя, так как качество снимков в целом оставляет желать лучшего, если не сказать что оно плохое. Однако тот, кому удалось бы совершить такую манипуляцию, должен был бы работать мастерски. Единодушное мнения либо нет, либо идеально. Самый известный блогер ютубер Хуан, пишущий о деле, твердо убежден, что все фотографии с Мирадора сфабрикованы. Однако его доказательства кажутся нам неубедительными. В то время как манипуляции с фотографиями были бы, по крайней мере, чрезвычайно трудными для реализации, манипуляция с установленным временем камеры была бы детской игрой и, вероятно, не была бы обнаружена криминалистами. Манипулятор мог бы изменить настройки времени и даты по своему усмотрению.
Крис и Лисанн позируют до фотографии 489 и 11:42 поочередно на пастбищах в нижней части Пианиста. Сегодня это место выглядит почки также. На пастбищах справа и слева от тропы пасутся коровы, тут и там лежат камни, окаменевшие деревья выглядят как с картины. Вскоре после этого начинается лес, отсюда путь почти всегда идет круто вверх. Синева неба исчезает, глубокая зелень деревьев доминирует в поле зрения. Примерно на полпути к вершине в 12:03 сделана фотография 491. Крис скрещивает ноги, ее обувь спрятана за папоротником. В одной руке она держит две закрытые пластиковые бутылки с водой. Во время еще одной остановки на пути к вершине Крис и Лисанн фотографируют один из туннелей, которыми известна тропа Пианиста в Бокете. Это своего рода ущелье с метровыми стенами из камня и земли. Эти туннели образуют проходы длиной до 50 метров, настолько узкие, что два человека не могут пройти рядом. В самых высоких местах они достигают около трех метров в высоту. Селфи 495 Крис сделано в 13:00 уже на Мирадоре. То, что девушки к этому времени уже достигли вершины, означает быстрый подъем, особенно для местных жителей без гида, которые как и Лисанн и Крис, делают фотоустановки. Тропа длинной около четырех километров вверх разветвляется в двух местах. Маркировки отсутствуют, поэтому туристы часто сбиваются пути и вынуждены переориентироваться. Кроме того, Лисанн, как сообщалось, страдала от проблем с дыханием. Ее ноги также, вероятно, доставляли проблемы. Если девушки стали жертвами преступления, быстрый подъем мог бы указывать на то что они уже были в сопровождении неизвестного, знающего местность человека. Теоретически возможен также проезд на транспортном средстве до входа в лес. На снимке 489 подруги смеясь показывают большой палец вверх. Их последняя совместная фотография, то есть 1 апреля 2014 года 13:01. Далее следуют четыре снимка, на которых Крис и Лисанн, теперь с распущенными волосами, поочередно позируют на южной и северной сторонах ветреного Мирадора, снимки 499-502. Их тела отбрасывают длинные тени в полуденном солнце, когда триумфально поднимают большие пальцы. Но внимательные наблюдатели хмурятся. Где следы утомительного подъема? Ни капли пота, ни усталости не видно на лицах туристок. Вместо этого их щеки выглядят гладкими и румяными, волосы свежими и блестящим. В конце концов, Мирадор находится на высоте около 2000 метров и путь наверх не всегда прост даже для опытных туристов. Тем более удивительной кажется легкость, с которой Крис и Лисанн позируют на фоне пейзажа. Их движения кажутся отрепетированным, большие пальцы поднятые к небу, как по команде. Этот жест, который тщетно искать в их предыдущих отпускных фотографиях. Их поза насколько не типична, что даже родители Лисанн, сбиты с толку. Возможно, разгадка кроется в таинственном человеке, который был с девушками во время съемок. То, что интернет детективы якобы выявили здесь соответствующего подозреваемого, мы покажем в главе Теории преступлений. Перед Мирадором в ясные дни туристы наслаждаются потрясающим видом и могут видеть как Тихий океан так и Карибское море, расположенное примерно в 30 км. Крис и Лисанн, однако, здесь скорее спешат. По непонятной причине они почти не тратят времени и делают восемь фотографий менее чем за 100 секунд, перепрыгивая с одного конца вершины на другой и постоянно меняя камеру. После фотосессии на вершине происходит нечто непостижимое. Крис и Лисанн сворачивают с официальной, заканчивающейся здесь тропы Пианиста и спускаются по другой стороне Мирадора, в неизвестность. Это роковое решение должно было решить их судьбу. Снимок 505, сделанный в 13:20, заставляет многих зрителей содрогнуться, предчувствуя грядущую беду. Видно Крис под густым лиственным покровом в горном туннеле. Согнувшись, с закрытыми глазами и искаженным лицом, она кажется,  скрещивает руки за спиной, как будто связана. Однако, если увеличить несколько причудливую фотографию, можно заметить, что Крис кладет правую руку плашмя на лоб, возможно, чтобы защититься от солнце, просвечивающего сквозь листья. Ее ноги скрыты за камнем, лежащим на тропе. В боковом кармане ее джинсов лежит одна из пластиковых бутылок с водой. После еще одной фотографии скальных стен в течении 34 минут не делается никаких других снимков. Последние две фотографии сделаны у ручья Питти, у Кебрады 1. Снимок 507 в 13:54 показывает Крис со спины на камне перед ручьем, который она, по видимому, собирается пересечь по камням, лежащим в воде. Примечательно, что ее голени и шорты теперь испачканы, что может указывать на то, что она тем временем задела одну из стен туннеля, так как они иногда настолько узкие, что пройти, не касаясь, почки невозможно. Возможно, она также поскользнулась и упала. Кроме того, на ее джинсах есть небольшая дырочку, которую также можно узнать на найденных фотографиях ее одежды. Всего 8 секунд спустя Крис поворачивается, смотрит прямо в объектив камеры для снимка 508. Ее черты бледны и безжизненны, глаза без блеска. Это всего лишь игра теней, или за этим стоит нечто большее. Большое количество интернет детективов полагают, что в этом выражении лица можно распознать явное изменение настроения. Как будто за это время произошло что то, что обеспокоило Крис. Хотя легкая улыбка играет на ее губах, она кажется натянутой и не достигает той веселости, которая должно быть, преобладая мгновение назад. За этой последней известной дневной фотографией следует, возможно, самый большой спорный момент всего дела- удаленная фотография 509. Здесь мы просто дадим слово озадаченному эксперту NFI со всем его опытом. Я заметил что в вышеупомянутой серии фотографии отсутствовал файл IMG 0509 JPG. Я увидел, что это был примечательный факт, потому что предыдущая фотография IMG 0508 JPG была датирована 1 апреля 2014 года в 13:54, а последующая фотография IMG 0510 JPG имела дату 8 апреля 2014 года и время 01:29. Кроме того, я заметил, что за IMG 0510 JPG следовала серия из 100 фотографий с темными ночными снимками, которые было трудно локализовать. Следственная группа попросила меня продолжить расследования, что бы выяснить, есть ли следы этого отсутствующего файла на носители данных. Я исходил того что файл, вероятно, был удален вручную в неизвестное время после 1 апреля 13:54. Однако с 32 файловыми системами носителя данных я не смог найти никаких следов этого отсутствующего файла. Затем я с помощью программы для восстановления данных Photorack версия 6.14 от компании CG Security просканировал свободное пространство носителя данных на предмет остатков фото файлов, которые еще можно было бы восстановить из этого пространства. Эта программа обычно дает очень хорошие результаты. Результаты программы Photorack не дали никаких следов отсутствующего изображения. Криминалист проводит ряд дополнительных анализов и обнаруживает, что секторы файла 0508 плавно переходят к следующей фотографии 0510. Если бы 0509 была сделана, а затем удалена вручную, это обычно должно быть замечено по пробелу в файловой системе. Ни одна из ранее удаленных с камеры фотографий, которые удалось восстановить с помощью криминалистического программного обеспечения, не вызывал такой ошибки в файловой системе. В конце концов, эксперт исчерпывает свои криминалистические возможности и делает сухой вывод. К сожалению, мне не удалось более точно определить точное время удаления файла или обстоятельства удаления. Между дневными и ночными снимками зияет пробел. Именно потенциально решающая фотографии, либо последняя до, либо первая после инцидента, отсутствует. Ее исчезновения усиливает подозрения в целенаправленном удалении. Это могло бы пролить свет на то, что произошло с девушками. Спекуляции вращаются вокруг изображения преступника или доказательства, исключающего несчастный случай в лесу. Сам виновник или кто то, кто хочет скрыть преступление, мог удалить изображение. Тем временем несколько экспертов и журналистов пытались воспроизвести обстоятельства исчезновения фотографии 509. С помощью идентичных моделей камер они проводили тесты, пока без убедительного объяснения. Мэтт из Imperfect Plan основываясь на одиннадцати экспериментах, суммирует пять возможных причин. Он практически исключает неисправность камеры, что подтверждает оценку компании Canon. Он также считает случайное удаление девушками практически исключенным, а преднамеренное очень маловероятным. Создатели телесериала Lost in the Wild также воспроизвели ситуацию и установили, что фотограф не мог удалить фотографию 509 до того, как сделал следующее. Потому что таким образом следующая не получила бы номер 510, как это произошло, а получила бы освободившийся номер 509. Авторы Lost in the Jungle также проводят тесты с камерой обнаруживают невероятную возможность того, что девушки после съемки изображений 508 извлекли карту памяти вставили новую, так что следующая фотография на найденной карте памяти получила номер 510. Независимо от того, что было не было никаких причин для такого странного действия, неизвестно, что Крис и Лисанн носили с собой вторую карту памяти. Но именно это утверждают авторы, рассказывая историю панамца, который якобы рассказал им, что в рюкзаке было найдены две карты памяти. Поскольку об этом нигде не упоминается в протоколах, мы предполагаем, что это просто выдумка этого эпизода. Авторы, вероятно, считали, что могут себе это позволить, так как предполагали, что только у них есть доступ к материалам дела. То, что Мэтт из Imperfect Plan также имеет к ним доступ, они не знали на момент написания своей книги. Блогер Imperfect Plan, однако, не знал об этом, но после выхода книги он по электронной почте указал на несоответствие со второй картой памяти, что привело к тому, что авторы тайно, удалили этот отрывок из международной версии книги и оставили смену карты только как теоретическую возможность. Поскольку они не сделали этого для голландской версии книги, это привело к бурным дискуссиям в криминальном сабреддите, пока реддиторы не обнаружили, что произведения отличаются в ключевых местах. Даже если бы Лисанн теоретически удалила фотографию 509 после ее создания и пропустила следующий номер, остается вопрос, почему она должна была это делать в чрезвычайной ситуации? Ранее она, по крайней мере, не удаляла неудачные снимки, и места на карте было более чем достаточно. Таким образом, загадка исчезнувшей фотографии 509 неразрывно связана с судьбой двух голландских подруг.

[Криминайка]

Ночные фотографии

Разворачиваемый текст

Между последним дневным фото 508 и первым ночным фото 510 проходит семь дней, двенадцать часов и 25 минут. Почему за этот промежуток времени не было сделано никаких снимков, кроме удаленного фото, объяснить невозможно. Камера могла быть либо неисправна, либо недоступна для девушек. Возможно, они были заняты выживанием в лесу. Снимки были сделаны между 1:29 и 4:10 ночи и сохранены на SD-карте под номерами с 510 по 609. Ни место, где они были сделаны, ни то, что они показывают или должны показывать, неизвестно. В конечном итоге, нет даже доказательств того, что Крис и Лисанн были фотографами, и неясно, были ли они еще живы на момент создания этих снимков. Это в основном эти необъяснимые, таинственно выглядящие фотографии в темноте, которые тревожат людей по всему миру и существенно формируют жуткость, этого дела. Среди интернет детективов существует негласный девиз тот, кто найдет или сможет определить место ночных фотографий, сможет также разгадать загадку исчезновения Крис и Лисанн. Поэтому снова и снова предпринимаются частные экспедиции в джунгли Бокаса. Здесь особенно выделились блогеры Imperfect Plan и Ромен Касальда, который пытается исследовать эту область с помощью дронов. При всем уважении к их усилиям по картографированию и документированию мест, делая их доступными и понятными для других, мы считаем попытки найти место ночных фотографий таким способом безнадежным. Аннетт днями бродила по различным регионам леса и обнаружила, что все очень похоже и быстро меняется. После шторма почти ни один камень не лежит на прежнем месте, деревья теряют листья или ломаются, растения растут с бешеной скоростью, а сильный дождь смывает все, что не закреплено намертво. За исключением нескольких пастбищ, человеческого влияния в этом районе нет, поэтому лес остается практически нетронутый человеком. Таким образом, вероятно, что уже через несколько месяцев или даже недель после 1 апреля 2014 года, из-за состояния леса, было невозможно  определить место ночных фотографий. Только если бы они были сделаны в районе загонов, был бы реальный шанс, потому что здесь место для фото можно было бы узнать по водопадам, мостам или чему-то подобному. Особенно заметна в серии фотографий частота, при которой между отдельными фотографиями в среднем проходит менее двух минут. Поскольку снимки были сделаны в полной темноте, почти наверняка на всех использовалась вспышка. Кроме того, большая часть фотографий, по видимому, была обработана до передачи в NFI, что касается в основном осветления и контраста. По анализу различных частных экспертов, все фотографии были сделаны в одном и том же месте, возможно, даже с одной и той же позиции. Imperfect Plan удалось скомпоновать имеющиеся изображения таким образом, чтобы они создали своего рода круговой обзор. Вероятно, фотографии были сделаны из лежачего положения или сидячего положения, при этом камера должна была быть направлена вверх. Ночные фотографии рисуют гнетущую картину. Небо усеяно крошечным точками света и обрамлено густым пологом леса. Снова и снова появляется дерево с характерной V-образной развилкой ветвей. Слева возвышается контур, и слева контур возвышается в скальной стене или ущелье, заросшими кустами и лианами. Из чащи падает призрачный свет, как ливень падающих блуждающих огней. Камера фиксирует странную сцену, ни следа цивилизации, ни выхода из лабиринта леса. Предположение, что множество световых точек - это капли дождя, вполне логично, тем более что заключение метеостанции за указанное время фиксирует сильные дожди. Однако это также могут быть брызги водопада или конденсат в воздухе. На некоторых снимках мы видим белые и красноватые объекты. Путем тестов с моделью камеры и в сравнимых условиях Imperfect Plan анализирует их как отражения человеческой кожи. Действительно, на некоторых снимках мы замечаем части пальца, вероятно, пальца фотографа, который случайно попадает в кадр. На двух фотографиях, кажется, даже видны контуры лица и волос на теле. Возможно, фото 541 в 1:37 ночи можно заметить очертания подбородка и щеки, прядь волос, а также пряди волос. В этом случае перед камерой должен находиться второй человек, который был случайно снят сбоку. На многих фотографиях онлайн - следователи считают, что могут распознать все возможное, от хищников до каннибалов и трупов, до призраков или других паранормальных явлений. Однако это явления не сверхъестественного характера, а называется парейдолией. Под этим психология понимает изображения, которые мозг создает из паттернов, в данном случае из скальных образований и растительности, чтобы объяснить необъяснимое. С логической точки зрения, большинство снимков, кажется, не стремятся запечатлеть что либо реальное, выглядят случайными и не сфокусированы. Напрашивается предположение, что фотограф скорее использовал камеру как источник света, либо чтобы сделать видимым что то, что его напугало, либо чтобы отогнать это вспышкой. Однако наиболее вероятное толкование состоит в том, что кто-то хочет привлечь к себе внимание вспышкой. Возможно, фотограф ранее слышал жуткий звук в окрестностях или видел вдалеке неопределенный источник света, который обещал ему надежду на спасение. Слухи на интернет-форумах постоянно распространяются о том, что в ту ночь летали спасательные вертолеты. Мы не нашли никакой информации об этом в имеющихся протоколах поиска. Также нет информации о поисковых группах, которые ночевали в лесу и искали Крис и Лисанн с помощью световых и звуковых сигналов. Мы находим только сообщения NOS News, которое ссылается на Марка Бессема. Голландский корреспондент, по его словам, узнал, что специалисты по джунглям, которые оставались в этом районе ночью, громко кричали и пытались привлечь внимание женщин световыми сигналами. Возможно, он имеет в виду экспедицию, которую возглавляет гид Плинио. 15 апреля он делится на своей странице в Фейсбук фотографией Finca Laureano, расположенной глубоко в лесу Бокас-дель-Торо, где располагаются войска Senafront после приземления на вертолете. В серии ночных снимков выделяются три фотографии с конкретными мотивами. Они нарушают кажущийся случайный узор и могут дать важные подсказки. Эти снимки выглядят целенаправленными и сфокусированными, а не случайными, как будто фотограф хочет отправить сообщение. Они существенно подпитали толкование журналиста Джереми Критта и подогрели дискуссию о ночной серии. Мы представляем их ниже. Фото 550 8 апреля 2014 года в 1:39 ночи. Ночная серия была опубликована в газете Марка Бессема. Взгляд фотографа, кажется направлен вперед. Таким образом, мы видим участок земли этого места. За массивной эродированной скалой мы отчетливо видим движение воды, что позволяет предположить, что снимок был сделан у ручья. Также видна типичная для этого места, поросшая мхом скальная стена на противоположном берегу. В середине ручья возвышается скала. На ней лежит ветка, к которой прикреплены два красных объекта. Вероятно это пластиковые пакеты, подобные тем, что в большом количестве выдавались в супермаркетах в Бокете. Некоторые толкования предполагают, что это может быть самодельный инструмент для зачерпывания воды из ручья, сбора дождя или отпугивания животных. Другие указывают на то, что это самодельный инструмент. Место могло быть отмечено по веской причине, например, чтобы найти его снова, как, например, реку как источник воды или место захоронения. Наиболее правдоподобным нам кажется объяснение, что это конструкция, с помощью которой, как и с помощью вспышки ночью, должны были подавать сигналы днем, чтобы привлечь внимание поисковых групп, особенно вертолетов. Можно предположить, что Крис и Лисанн днем также прикрепляли часть своей одежды днем к ветке. Но, возможно, конструкция таит в себе и совершенно другое послание: что, если это часть коварного плана, разработанного кем-то, кто хочет заставить мир поверить что две молодые женщины беспомощно потерялись в джунглях. В конце концов, нам остается неизвестным, был ли этот зловещий объект изготовлен Крис и Лисанн. Рядом с веткой мы видим кусок разорванной бумаги, на котором даже при сильном увеличение не видно надписи. Это кусок, который мы больше не можем однозначно распознать. Фото 576 8 апреля 2014 года, 1:46 ночи. Неотредактированное фото показывает скалу, где валяются некие обрывки, туалетная бумага и нечто напоминающее лямку сумки от фотокамеры. Некоторые  интернет детективы утверждают что это попытка выложить сигнал SOS. Также круглый, расположенный между ними, блестящий объект, который часто ошибочно принимают за зеркальце, подкрепляет теорию, что кто-то пытался подавать сигнал о помощи.. Вероятно, диск представляет собой отрезанное дно банки из-под чипсов Pringles. Чипсы такой же марки была найдены в комнате девушек и в пластиковом пакете на тропе Педро-Дель-Лино. До публикации оригинального фото интернет-детективы считали изображения подделкой журналиста Джереми Критта. Мы можем подтвердить что оно было найдено вместе с другими на карте памяти. Тем временем другие онлайн-следователи выяснили, что бумага на этом снимке частично представляет собой разорванную туристическую карту, Лисанн изучает ее на фотографии, сделанной 30 марта в бистро Boquete, где девушки обедали. Хотя мы знаем, что Крис и Лисанн получили такую карту в своей испанской школе, она конечно, могла принадлежать и кому-то другому. В целом, фото 576 дает четкое указание на принадлежности, которые были у Крис и Лисанн. Фото 580 8 апреля 2014 года, 1:49 ночи. Фото 580- самое тревожное и обсуждаемое в серии. На нем виден затылок рыжеволосой девушки, скорее всего, Крис. Однако, однозначная идентификация невозможна. Также невозможно сказать, была ли она жива на момент съемки. Что смущает и тревожит зрителей, так это ее безупречно чистые волосы, как будто они только что были вымыты. При этом Крис после более чем недели в джунглях должна была быть испачкана и измождена. Но в ее рыжих прядях нет и следа этого. Ни земли, ни остатков растений. Вместо этого они выглядят сухими и шелковистыми, что полностью контрастирует с каплями дождя на других снимках. Некоторые говорят, что они похожи на парик. Впервые фото стало известно в декабре 2014 года благодаря публикации в голландской телепередаче In Van Dach. Когда Джереми Критт получил доступ к оригинальным снимкам, он, по его словам, обнаружил зияющую рану в месте, скрытом телерепортаже. До утечки фото в 2019 году онлайн сообщество спекулировало о возможном насилии, падении или нападении животного на Крис. Также появилась теория, что Лисанн сфотографировала затылок Крис, чтобы та могла сама увидеть рану. И по сей день бесчисленные подкасты и видео распространяют эту давно опровергнутую историю. Хотя даже при знании оригинального фото зрители все еще утверждают, что видят травму на показанном затылке, мы не можем обнаружить ничего подобного даже с помощью фантазии и еще раз ссылаемся на феномен парейдолией. Некоторые любители-следователи твердо убеждены, что на снимке изображен не затылок Крис, а ее лицо, скрытое волосами, откинутыми вперед. Они видят в нем глаза, нос и рот. Единственная особенность, которую по нашему мнению, можно разглядеть за прядями волос, - это образование на левой стороне ее головы, которое на первый взгляд действительно похоже на зубной ряд, но при ближайшем рассмотрении оказывается жемчужной серьгой, которую Крис носит и на других фотографиях. Что одновременно является четким указанием на то, что на фотографии действительно изображена Крис, мертвая или живая.

Добавлено позже:
Журналы телефонов

Разворачиваемый текст

Извлеченные данные мобильных телефонов, наряду с фотографиями и находками, являются центральными элементами головоломки для реконструкции событий 1 апреля. Поскольку довольно сложно поддержать здесь обзор, мы включили в нашу книгу упрощенную таблицу соответствующих данных в приложение. Выявленное из этого поведение телефона вызывает больше вопросов, чем дает ответов. Многочисленные возможности интерпретации собранных данных оставляет так много места для спекуляций в разных направлениях, что чрезвычайно трудно приблизиться к истине. Судебные эксперты NFI при своей оценки в этом расследовании также действуют исключительно по техническим критериям и не предлагают реконструкцию событий. Однако они анализируют, исходя из предположения, что Крис и Лисанн исчезли за Мирадором, что они не ставят под сомнение из-за отсутствия данных о местоположении. Они не знают, что возникнут обоснованные сомнения относительно времени и места исчезновения Крис и Лисанн. Тем не менее, исследование телефонов уже дает четкие указания на то, что данные были манипулированы. Сначала мы можем констатировать, что на мобильных телефонах не обнаружено следов ДНК, но есть шесть дактилоскопических следов (Включая аккумулятор Самсунг и клейкие ленты), которые, однако, не дают полного профиля. По одному цифровому эксперту из соответствующего курса. Аналитические группы создают для каждого мобильного телефона, на основе судебно-медицинской цифровой копии, сделанной NFI, протокол использования, для которого могут быть использованы данные с 1 по 11 апреля 2014 года. Наиболее важные аналитические данные, лог-файлы, судебные эксперты получают на основе загрузочных и энергетический логов, хранящихся в мобильном телефоне. Загрузочные логи дают информацию о времени включения телефона или о вводе сообщения. Из энергетических логов можно извлечь данные об использовании, например, о силе сигнала, расходе заряда батареи, использовании камеры или различных приложений. Настройки времени на телефоне Крис во время ее пребывания в Панаме оставались установленными на голландскую часовую зону, и это как отмечает соответствующий криминалист, несмотря на то, что операционная система IOS 7.0.6 работающая на iPhone, обычно автоматически переключается. Для своего анализа судебный эксперт переводит полученные данные в местное время, вычитая семь часов. В отличие от iPhone, телефон Samsung настроен на местное время. Хотя панамский следователь в своем отчете упоминает, что он не смог открыть телефон Лисанн из-за запроса PIN-кода, его голландский коллега отмечает, что PIN-код для использования телефона не требовался. Телефон Крис, напротив при включении сначала запрашивал код разблокировки, а затем ее личный PIN-номер для SIM-карты. Чтобы понять выводы из лог-файлов, мы попросили нескольких экспертов дать свою оценку. Особенно ценный вклад внес коллекционер и специалист по iPhone Франсиско Антело Конде. С помощью iPhone 4 он провел несколько полевых испытаний в одинаковых технических условиях, но на основе которых мы запросили PIN-номер для SIM-карты. Он также смог проиллюстрировать зарегистрированные действия пользователя. Контрольные тесты провел сертифицированный эксперт по облачным технологиям и сетям Ян. Б. которому мы предоставили эксклюзивные данные для этого. Вторник 1 апреля. После сравнения с данными камеры и различными результатами расследования панамских властей голландские специалисты предполагают, что Крис и Лисанн начали свой поход 1 апреля 2014 года около 11 часов утра по тропе Пианиста. В 13:54 они достигают Кебрады 1, где были сделаны последние фотографии дня. В это время оба телефона больше не имеют контакта с сетью GSM, которая ранее существовала спорадически. От ручья теряется всякий след дальнейшего маршрута, по которому могли пойти девушки. В 16:39 впервые набирается голландский номер экстренной помощи 112 на iPhone, 12 минут спустя, то есть в 16:51, на Самсунг. По информации панамского центра экстренной помощи, входящие звонки там не регистрируются. Очевидно, что между пребыванием в Кебраде 1 и попытками экстренного вызова что-то должно было произойти. Если бы девушки продолжали идти в своей прежнем темпе, они бы достигли первого Обезьяньего моста, который находится примерно в 5 километрах от Мирадора . Из этого можно сделать вывод, что здесь они поняли, что не могут идти дальше. Однако за это время они могли бы точно так же заблудиться на пастбищах, которые они прошли. Теоретически они могли покинуть тропу в другом месте или вообще не двигаться с места. Для всех версий возможно, что они думали, что вернутся Бокете по выбранному пути, но позже поняли, что находятся на ложном пути, и поэтому попытались получить помощь по телефону. Если бы они были в сопровождении во время экстренного вызова, они могли бы обнаружить, что тот, кому они, возможно, слепо доверяли, представляет для них опасность, и поэтому, возможно сначала тайно, попытались связаться с центром помощи. Это мог быть кто-то, кто сознательно заманил их за Мирадор, например, с обещанием показать им скрытые водопады или провести их более коротким путем обратно в Бокете. Они могли бы здесь, конечно, также столкнуться с кем-то, кто был в джунглях и хотел бы сыграть с ними злую шутку. Также возможность того, что они столкнулись со случайными преступниками с различными мотивами. Повреждения рюкзака могли быть вызваны мачете или столбом забора. Возможно, Крис и Лисанн случайно наблюдают за сделкой с наркотиками и представляют угрозу безопасности для бандитов, которые перемещают свои товары по скрытым тропам джунглей между побережьем Бокас Дель Торо и Бокете. Против этого говорит то, что они звонят в экстренную службу всего дважды с интервалом в двенадцать минут. Это не указывает на панику. Таким образом, серьезная травма скорее исключается. Если девушки просто заблудились, они могли бы быть уверены, что справятся сами. В 17:52 оба телефона внезапно выключаются одновременно. Это также явно противоречит жизнеугрожающей травме, например, от падения. Большинство сторонников сценария потерялись приходят к выводу, что Крис и Лисанн воздерживаются от дальнейших попыток звонков исключительно из-за их знания об отсутствии сигнала. Но стали бы люди, охваченные паникой или испуганные, действительно звонить в экстренную службу только один раз из определенного места. Теории о несчастной игре предполагают, что у них отбирают мобильные телефоны в соответствующее время или им приказывают их выключить. То, что оба телефона остаются выключенными в течении 13 часов, плохо согласуется с теорией о заблудившихся в лесу. Согласно метеорологическому заключению с 1 апреля по 6 апреля новолуние. Провести ночь в непроходимых зарослях без лунного света или света фонарика кажется нам крайне нереалистичным, учитывая угрожающий звуковой фон ночных животных. Распространённое объяснение, что девушки хотели сэкономить заряд батареи, также не убеждает в этом сценарии. На этом раннем этапе у них нет оснований предполагать, что на следующий день их не найдут или они не смогут вернуться самостоятельно. Кроме того, Wi-Fi на телефоне Samsung Лисанн постоянно включен. Признак усилий по экономии энергии. Среда, 2 апреля. Только после 13: часов тишины телефоны снова активизируются этим утром. Сначала Samsung набирает номер экстренной помощи 112 в 6:58, но сразу же выключается. В 8:12 запускается iPhone. Кто-то переключает сканирование сигнала на более высокие частоты с только 2G на 2G и 3G. Затем немедленно набирается номер экстренной службы 112. После этого открывается системное управление и активируется функция, которая отныне позволяет получать доступ к центру управления и, следовательно, к определенным функциям и приложениям с помощью свайпа по панели управления, без необходимости ввода кода разблокировки. Операционная система создает автоматический скриншот этого действия, на котором отображается конфигурация панели управления. В 8:14 iPhone выключается и в этот день больше не включается. Целенаправленные действия на iPhone кажутся сомнительными из-за технической неопытности Крис. В Панаме она даже не настраивает время. Сомнительно, могла ли бы она  или стала бы выполнять целенаправленные шаги по активации панели управления за одну минуту. Теперь активированная функция панели управления значительно упрощает доступ к iPhone. Третье лицо могло бы воспользоваться этим, если бы оно не знало или не хотело запоминать код разблокировки, который теперь не нужно вводить для использования центра управления. Однако для полного доступа к телефону по-прежнему требуется ввод кода разблокировки. В целом, действия кажутся не паническими, а спланированными и эффективными. Они не соответствуют ожидаемому поведению двух заблудившихся туристок. Самсунг активируется в этот день в следующий раз в 10:52. В 10:53 кто-то дважды пытается набрать номер экстренной помощи, сначала голландский 112, затем впервые панамский 911. Это изменение может указывать на то, что Крис и Лисанн поняли, что по привычке набрали неверный номер. Однако также возможно, что третье лицо, не зная голландского номера, набрало номер экстренной помощи. После того, как Самсунг сразу же выключился, он снова включается на несколько секунд в 13:50. Когда кто-то включает его в следующий раз в 16:19, он оставляет его работать непрерывно 15 часов и 17 минут. Цифровой криминалист регистрирует, что до конца дня файлы на телефоне открываются, создаются и изменяются. Указаний на связанные с этим приложения он не находит. Что происходит с мобильным телефоном в это время, остается таким же неясным, как и причина, по которой он не включается снова. Если бы Лисанн в этот день контролировала свой телефон, теория о желании сэкономить заряд батареи была бы несостоятельной. Потому что батарея разряжается за это время до минимума. Четверг, 3 апреля. В 2:21, 3 апреля, на работающем Самсунг на 13 секунд открывается и снова закрывается приложение AkkuWeather. Уровень заряда батареи составляет всего 6%. Согласно полученным заключениям метеостанции панамской прокуратурой, Крис и Лисанн в эту ночь впервые заметили дождь, однако с крайне незначительными осадками. Возможно, использование приложений связано с изменившейся погодой. До 2:47 используются различные программы, которые эксперт не может определить. В 7:36 телефон показывает уровень заряда батареи всего 1 и выключается. В 9:32 кто-то включает iPhone на несколько секунд. Последовательно совершаются две попытки экстренного вызова на 911. При ручном закрытии экрана вызова создается автоматический скриншот Default Dialer. В 11:47 телефон снова включается и немедленно выключается без каких-либо действий. Следующее включение происходит в 15:59. Создается очередной автоматический снимок экрана – это происходит после закрытия адресной книги - и на нем отображается контакт c именем Mytiam (На интернет- форумах можно ошибочно встретить информацию, что был открыт контакт WhatsApp). В 16:03, спустя четыре минуты, iPhone выключается, заряд батареи составляет 39%. По номеру телефона, отображенному на скриншоте, мы можем определить, что это номер мобильного телефона Мириам, который нам известен. Контакт, очевидно, был сохранен с опечаткой. То, что он вообще открывается, трудно объяснить сценарием потерялись. Номер не набирается, и пользователь в это время знал бы, что это невозможно из-за отсутствия приема. Если девушки были не одни, возможно, они показали номер Мириам кому-то, кто должен был связаться с их хозяйкой. Если предположить, что телефон больше не находился у девушек, третье лицо могло заинтересоваться номером телефона Мириам и хотело бы позвонить с работающего телефона. Мы считаем исключенным, что Крис, если она так стремилась экономить заряд батареи, набрала бы номер Мириам без важной причины. Это действие является для нас сильным признаком причастности третьего лица. Проверка номера также имеет значение, поскольку из материалов дела мы узнаем, что у сотрудников были трудности с контактом Мириам, потому что она не отвечала на телефон. Из письма Марджолей Ингрид мы знаем, что Мириам сообщила ей новый номер мобильного телефона за день до исчезновения девушек. Мириам больше не пользовалась этим номером телефона. Возможно, у нескольких человек в это время были проблемы с тем, чтобы связаться с ней. Должен ли был возможный преступник, у которого не было ее нового номера, по срочной причине связаться с хозяйкой своих жертв? Пятница, 4 апреля. В этот день 4:50 Самсунг последний раз включается. Затем он полностью разряжается до 5 часов, прежде чем устройство, вероятно автоматически выключается, как предполагает криминалист. iPhone в этот день включается дважды, а именно в 10:16 и в 13:42, на несколько секунд, без каких либо заметных действий. Суббота, 5 апреля. 5 апреля iPhone последний раз включается в 10:51 на несколько секунд с действительным SIM-PIN. В 14:35 он включается без ввода PIN-кода на несколько секунд. Почти можно предположить, что за это время телефон сменил владельца, который знает PIN-кода. Это могла быть Лисанн или третье лицо. По многим интерпретациям, Крис умерла в этот день, и Лисанн пытается пользоваться телефоном. Однако это должно означать, что девушки не обменялись PIN-кодом, что в чрезвычайной ситуации кажется маловероятным. Вследствие ухудшения состояния здоровья PIN-код также мог быть забыт кем-то. На интернет-форумах циркулируют бесчисленные слухи о том, что с этого момента PIN-код был введен неверно, из чего делается вывод, что кто-то третий получил доступ к телефону. Однако в отчете говорится исключительно о невводе PIN-кода. То же самое относится к часто распространяемому в прессе утверждению, что Крис и Лисанн не забывали PIN-код. Обе они 77 раз пытались набрать номер экстренной помощи. Это также не соответствует действительности. С обоих телефонов было совершенно в общей сложности восемь попыток. До 5 апреля можно было бы предположить, что регулярное включение и выключения iPhone служит для проверки сигнала или времени. Воскресенье, 6 апреля. В 10:26 iPhone включается при следующих попытках без PIN-кода. Автоматически созданный скриншот показывает, что PIN-код не включен. В 13:37 устройство снова включается и выключается, а затем не включается до 11 апреля. Почему после 6 апреля iPhone, который еще имеет достаточную емкость аккумулятора, больше не используется, трудно объяснить. Возможно, девушки больше не владеют своими телефонами или физически не в состоянии ими пользоваться. Пятница, 11 апреля. После пятидневного перерыва iPhone включается утром 11 апреля без PIN кода и остается в работе более часа. Отчет NFI не регистрирует Power-Logs, то есть нет подробной информации о состоянии и использовании iPhone. Однако криминалист находит другие аномалии в файловой системе. Здесь снова проявляется его скудный латинский язык. Я видел, что между 10:51 и 11:56 в общей сложности в 11:00 были аномалии PIN-кода. Я также видел, что дата и время последнего изменения семи других файлов журнала и системных файлов были изменены. Я продолжал искать в этих файлах журнала и системных файлах активность между 10:51 и 11: 56, которая могла быть связана с действиями пользователя, такими как открытие приложений или системных настроек. Я не нашел других следов этого. В 11:56 телефон выключается вручную и больше не включается. В отчете NFI отмечается, что это происходит в результате сознательного действия, и телефон не выключался сам, так как в противном случае в системе должен был бы быть отчет о сбое. То, что после пятидневного перерыва 11 апреля кто-то явно занимается телефоном 65 минут, крайне подозрительно. Наши эксперты заключают. Почти кажется, что манипуляции с файлами могли быть результатом автоматизированного процесса. Значит, кто-то должен был пользоваться телефоном. PIN-код SIM-карты не вводится. Смог ли криминалист определить, был ли введен код разблокировки, неизвестно. Однако номер экстренной помощи всегда можно набрать, но с утра 3 апреля этого вообще пытались делать. Без ввода кода разблокировки доступ к центру управления и, следовательно, к приложениям невозможен. К таким приложением, как фонарик, калькулятор, таймер и секундомер, доступ возможен. Кроме того, можно воспроизвести музыку, если она сохранена на телефоне, а также делать, сохранять и удалять фотографии. Кроме того, есть возможность включить и выключить Blutooth и режим полета. Для других действий потребовался бы ввод кода разблокировки. Таким образом, даже после судебно-медицинской экспертизы остается загадкой, что происходит 11 апреля. Телефон был сделан с помощью iPhone. Ввод кода разблокировки привел бы к сохранению Powerlocks. По словам Яна. Б. существует две возможности, как телефон мог использоваться в этот день. Он говорит нам: либо он использовался исключительно в заблокированном состоянии с ограниченными возможностями центра управления, при этом сгенерированные Powerlocks при включении отбрасываются системой. Либо телефон был манипулирован с помощью так называемого Jailbreak или через SSH RAM-Disk в режиме DFU на ПК.

[Вита]

Если панамские следователи действительно сделали это:

Немногочисленные удаленные файлы при ближайшем рассмотрении оказываются лишь миниатюрами существующих фотографий и изображений. Возможно, панамские следователи удалили их в ходе собственных расследований. По некоторым из оригинальных изображений, приложенных к делу, мы можем по их документации определить, что они были предварительно обработаны на ПК и сохранены в измененном виде обратно на SD-карте.

То есть перекинули фото с SD- карты на компьютер, провели с ними какие-то манипуляции, а затем снова записали обратно на SD-карту, то получается, они перед этим SD-карту отформатировали, иначе на карте были бы во-первых сохранены миниатюры, во-вторых оказались бы записаны дубликаты фотографий, а оригиналы можно было бы восстановить.
Но судя по тому, что оригинальные фото были перезаписаны:

самый большой спорный момент всего дела- удаленная фотография 509. Здесь мы просто дадим слово озадаченному эксперту NFI со всем его опытом. Я заметил что в вышеупомянутой серии фотографии отсутствовал файл IMG 0509 JPG. Я увидел, что это был примечательный факт, потому что предыдущая фотография IMG 0508 JPG была датирована 1 апреля 2014 года в 13:54, а последующая фотография IMG 0510 JPG имела дату 8 апреля 2014 года и время 01:29. Кроме того, я заметил, что за IMG 0510 JPG следовала серия из 100 фотографий с темными ночными снимками, которые было трудно локализовать. Следственная группа попросила меня продолжить расследования, что бы выяснить, есть ли следы этого отсутствующего файла на носители данных. Я исходил того что файл, вероятно, был удален вручную в неизвестное время после 1 апреля 13:54. Однако с 32 файловыми системами носителя данных я не смог найти никаких следов этого отсутствующего файла. Затем я с помощью программы для восстановления данных Photorack версия 6.14 от компании CG Security просканировал свободное пространство носителя данных на предмет остатков фото файлов, которые еще можно было бы восстановить из этого пространства. Эта программа обычно дает очень хорошие результаты. Результаты программы Photorack не дали никаких следов отсутствующего изображения. Криминалист проводит ряд дополнительных анализов и обнаруживает, что секторы файла 0508 плавно переходят к следующей фотографии 0510. Если бы 0509 была сделана, а затем удалена вручную, это обычно должно быть замечено по пробелу в файловой системе.

имело место именно форматирование карты.
Или же, как вариант, фотографии записали на другую, новую карту, которая не принадлежала девушкам.

Тогда, получается, никакого секрета 509 фотографии нет. Её удалили по ошибке или по злому умыслу панамские следователи у себя на компьютере. И записали файлы обратно на флешку уже без 509 фотографии.
теоретически, можно предположить даже вариант, что 509 фотография не была удалена, а просто её забыли по какой-то причине переписать с компьютера на флешку.
Это возможно: в некоторых программах мне встречался такой эффект: если один файл уже выделен, то при выделении после этого всех файлов (для отправки на флешку) выделенный ранее файл инверсируется, т.е. наоборот, остается не выделенным и не записывается. При большом количестве файлов это легко не заметить, особенно если на 509 фото один из многочисленных ночных снимков.
Если так, то 509 фото могло оставаться на полицейском компьютере в Панаме какое-то время (а может, как знать, остается до сих пор) и есть вероятность, что оно когда-нибудь "всплывёт" на наше обозрение. Её мог бы найти и обнародовать тот, кто имеет полный доступ не только к бумажному делу, которое вели в Панаме, но и к цифровым архивам Панамской полиции.
Конечно, это при условии, что Панамские следователи допустили разгильдяйство (что вероятно, учитывая то, как "немилосердно" они обошлись с оставшимися фотографиями, редактируя их).
Если же 509 фото удалено ими по злому умыслу - ради сокрытия какой-то информации, то, скорее всего, 509 фото утрачено навсегда.
Разве что его сохранили как компромат...

[Криминайка]

Сигналы и сообщения

Разворачиваемый текст

Отчет NFI об анализе данных телефона был в значительной степени обнародован. Многие интернет-детективы обнаружили, что он содержит некоторые избегаемые и досадные ошибки по невнимательности, такие как путаница во времени. Однако для нас более серьезным является то, что он в целом кажется неполным и избирательным. При этом панамские следователи, которым он был адресован, должны были бы удивиться или пожаловаться. Но, вероятно, он туда даже не дошел. Некоторые закономерности и особенности, по нашему мнению, должны были быть объяснены и выделены более четко. Поэтому, помимо обзора, представленного в приложении, мы приводим несколько замечаний, которые заслуживают большего внимания. Хотя мы можем констатировать, что телефоны никогда не используются одновременно, бросается в глаза, что Samsung после экстренного вызова 1 апреля используется только ночью и в ранние утренние часы. Для времени использования iPhone видна четко узнаваемая закономерность. Он никогда не включается до 8:14 и никогда после 14:35. Короткие предполагаемые проверки почти всегда происходят в одно и то же время в течение всех дней, а именно между 10 и 11 часами утра и 13 и 14 часами. Единственное исключение с использованием примерно на час позже составляет пятый день, с которого PIN-код больше не вводится правильно. Экстренные вызовы и другие действия для обоих мобильных телефонов также могут быть отнесены к этим заметно совпадающим временным окнам, как, в конечном итоге, даже время начала похода на тропе Пианиста, который, в зависимости от интерпретации, начинается либо в 11 часов, либо в 13 часов. Даже последняя фотография на Кебрада 1 в 13:44 вписывается в эту любопытную закономерность. Теоретики из Lost предполагают, что использование мобильных телефонов зависит от восхода и захода солнца. И мы также считаем связи теоретически возможными, возможно, потому, что почти нет ничего другого, что не связано с нечестной игрой. Если бы Крис и Лисанна были обездвижены под навесом из листьев, проверки могли бы совпадать со временем, когда солнце здесь появляется или исчезает. Возможно, они использовали экраны своих мобильных телефонов, подобно серебряному диску банки Pringles, чтобы отражать солнечные лучи и посылать сигналы в небо. Но для этого проверки не были бы необходимы, так что связь скорее могла бы быть объяснена либо фиксацией, либо ориентацией на определенное время. Однако все это крайне маловероятно. Мы хотим предложить новую, более правдоподобную теорию, в которой зловещие проверки сигнала имеют смысл и могли бы рассказать нам что-то о возможном местонахождении девушек. При этом мы исходим из гипотетического предположения, что третье лицо в определенный момент забрало у Крис и Лисанны мобильные телефоны и само управляет ими, чтобы сбить со следа. Сначала, однако, в нашей самой теоретически нагруженной главе мы должны в последний раз немного углубиться. заключается в силе сигнала, определенной в отчете NFI. К сожалению, в отчете NFI имеются только данные для iPhone, так как из устройства Лисанны не удалось извлечь информацию. Согласно телеметрическим данным отчета NFI, iPhone Криса 1 апреля в 13:38 при спуске имел силу сигнала минус 94 дБм. В это время они находились на полпути между Мирадором и Кебрада 1 без сетевого контакта. Следующая зарегистрированная сила сигнала в отчете NFI датируется 16:39, временем первого экстренного вызова, и снова составляет минус 94 дБм. Сила сигнала уменьшается с дальнейшим спуском. Мы знаем, что Крис и Лисанна продолжали спускаться, так как запись с камеры была сделана в 13:54 на Кебрада 1. Не исключено, но маловероятно, что они хотели вернуться к Мирадору и через два часа снова оказались в районе минус 94 дБ. ІТ-эксперт Ян Б. объясняет нам, что если мобильный телефон больше не может измерять реальные сигналы, потому что находится в зоне отсутствия связи, он регистрирует замороженное значение, то есть последнее измеренное значение. Таким образом, мы можем предположить, что минус 94 дБм было заморожено как последнее измеренное значение. В 17:52 оба мобильных телефона выключаются более чем на 13 часов. За это время девушки могли сменить местоположение. 2 апреля в 9:13 сила сигнала на iPhone составляет минус 113 дБм и не меняется в течение следующих 31 часа. 3 апреля в 16:00 она все еще составляет минус 113 дБм. Это значение цифровой криминалист NFI интерпретирует как максимально низкое техническое значение, на котором измерение останавливается. Согласно результатам тестов Яна Б. это значение регистрируется, когда мобильный телефон перезапускается в зоне отсутствия связи. Таким образом, мы не можем сказать, где находился iPhone, но мы можем с почти полной уверенностью утверждать, что он находился в зоне отсутствия связи. Для вероятного изменения местоположения это означает, что было бы четыре возможности. Первая заключалась бы в том, что Крис и Лисанна после экстренных вызовов и выключения телефонов продолжили спускаться вниз в лес Бокас-дель-Торо. Во-вторых, они могли бы теоретически следовать за Кебрада 1 в северо-западном направлении и таким образом покинуть тропу. Это имело бы смысл только в том случае, если бы их заставили это сделать или они по какой-то причине бежали туда. Третья возможность заключается в падении с Мирадора, что теоретически возможно только в определенном месте. Это место, что интересно, находится точно в районе между Кебрада 1 и Мирадором. Четвертая возможность, наконец, заключается в том, что Крис и Лисанна прошли через Мирадор обратно в сторону Бокете и при спуске с Мирадора были задержаны на правильной стороне на верхнем склоне горы Пианиста. Потому что и здесь существуют зоны отсутствия связи, в которых, соответственно, отображалось бы значение минус 113 дБм. В эти зоны тогда с высокой вероятностью попадали некоторые уединенные хижины, о которых мы поговорим позже. Таким образом, если девушки встретили преступника на обратной стороне Мирадора, он мог бы привести их через Мирадор в одно из этих убежищ, не оставляя цифровых следов. Для этого достаточно выключить телефоны, так как непосредственно на Мирадоре есть контакт с сетью GSM. И телефоны девушек по непонятной причине были выключены на долгое время в первый день их исчезновения. С 3 апреля 11:46 зарегистрированные данные журнала для iPhone больше не показывают индикацию силы сигнала, на что отчет NFI не обращает внимания. Но именно здесь, по нашему мнению, и заключается суть. Единственное объяснение этому заключается в том, что iPhone не работал достаточно долго, чтобы зарегистрировать сигнал. Для этого нужно знать, что журнал загрузки iPhone фиксирует, когда телефон запускается, но не предоставляет конкретной информации о выключении. Таким образом, цифровой криминалист всегда знает, когда телефон включается, но не знает, когда он фактически выключается. Время он оценивает лишь на основе незарегистрированных действий и отсутствующих файлов журнала телефона. Для проверок сигнала он отмечает, что телефон был немедленно выключен после включения. По умолчанию он записывает в протокол ту же или следующую минуту. В полевом эксперименте Антело Конде воспроизводит для нас различные сценарии. Когда включение iPhone 4 немедленно регистрируется в файле журнала, процесс загрузки до полного включения занимает 49 секунд. После этого системе требуется еще 5 секунд, чтобы вообще начать поиск сигнала. В контрольных тестах Ян Б. имитировал зону отсутствия связи с помощью обернутой алюминиевой фольги. В ней, как он нам говорит, iPhone требуется 30 секунд для поиска сигнала, что видно на дисплее. В течение нескольких секунд включенный телефон можно без проблем снова выключить, не регистрируя в файлах журнала никакой дополнительной информации, кроме процесса загрузки. Фактически, до 11 апреля необъяснимым образом не было попыток экстренного вызова и никаких других Таким образом, многое говорит о том, что 3 апреля после 16:00 что-то существенно изменилось. В подходящем сценарии игры в этом случае девушки были перевезены с тропы Пианиста в другое место, где был достаточный сигнал. Именно здесь преступник, владеющий телефонами, должен был предотвратить их обнаружение. Если похититель преследовал цель создать видимость того, что девушки заблудились за Мирадором и были живы дольше, у него вряд ли были бы другие возможности для отправки предполагаемых признаков жизни с телефонов пропавших. Это работает только до тех пор, пока сигнал не выдаст его. Следуя этой теории, он прибегает к методу простого включения и выключения, которое никогда не длится так долго, чтобы телефон технически мог измерить сигнал. В этом контексте, в конечном итоге, даже целенаправленное переключение с 2G на 3G утром 2 апреля могло бы иметь смысл. Антело Конде объясняет это как возможный трюк, что телекоммуникация телефонов от преступника к преступнику, чтобы выиграть больше времени, если на месте нет приема сети 3G, но этот стандарт мобильной связи установлен по умолчанию, iPhone сначала ищет соответствующий сигнал на этой частоте, или сначала ищет максимально возможные сигналы. Прежде чем он самостоятельно сканирует более низкую частоту, проходят дополнительные секунды, которые позволили бы преступнику при использовании большее временное окно, прежде чем телефон подключился бы к сети или был бы обнаружен. Могло ли переключение с 2G на 3G в нужное время в нужном месте повлиять на отсутствие соединения для экстренного вызова, мы не можем понять. Мы предполагаем, что iPhone был включен и немедленно снова выключен, так что в файле журнала не могло быть зарегистрировано ничего, кроме включения телефона. Соответственно, в криминалистическом отчете также отсутствуют журналы питания, которые создаются и сохраняются только после общего времени работы телефона более 1 минуты 40 секунд. Эксперты Антело Конде и Ян Б. приходят здесь к одному и тому же выводу. Включение и выключение телефонов не могло служить Крис и Лисанне, если они использовали телефоны, для приема или поиска сигнала. Для этого просто не хватило бы времени. То, что девушки искали сигнал, также не имеет смысла из-за невода SIM-PIN с 5 апреля, потому что тогда на дисплее четко отображается сообщение «SIM заблокирована». Но для Крис и Лисанны не было бы убедительной причины многократно включать и выключать свой телефон. Если только считывание времени в совершенно определенных узнаваемых моментах не имело для них по какой-то причине большого значения. Предположительно, технически подкованный преступник при возможном обмане также допустил ошибки. Среди документов присутствует сообщения от панамского оператора мобильной связи, косвенно подтверждающее данную гипотезу согласно которому IMEI телефона Крис iPhone был зарегистрирована в мобильной сети 18 апреля. Однако не предоставляя объяснений, специальный агент в службе Питти сообщает в приложенной служебной записке, что это была ложная информация. Сильным аргументом против теории «потерявшихся» является тот факт, что девушки не оставили прощальных сообщений. Ни на телефонах, ни на камере криминалисты NFI не находят ни единого объясняющего слова. Если бы Крис и Лисанна, которые обе были прилежными авторами дневников и тесно связаны с семьями и друзьями, могли действовать свободно, можно было бы ожидать текстовых сообщений, фотографий или видео для документирования их ситуации. Почему нет строк родителям, нет попытки записать пережитое для потомков? Даже в стрессовой ситуации были бы средства и способы для этого, помимо телефонов, даже функциональная цифровая камера. Подобные случаи показывают, что оставление прощальных сообщений является чрезвычайно большой потребностью для людей, которые знают, что не смогут выбраться из ситуации, для их близких, а также для фиксации своей судьбы для потомков в целом. В интернет-форумах в качестве причины отсутствия прощальных слов часто постулируется полное психическое замешательство обеих девушек из-за обезвоживания или укуса ядовитого животного. Однако такая ситуация опять же вряд ли согласуется с сознательным использованием аккумулятора телефона, использованием телефона в определенное время или изобретательностью при подаче сигналов поисковым группам. Отсутствие каких-либо сообщений с психологической точки зрения позволяет сделать лишь несколько выводов. Крис и Лисанна могли до последнего сохранять надежду выбраться из своего затруднительного положения. Пока люди не осознают окончательную безнадежность своей ситуации, последнее прощание дается очень тяжело. Это означало бы, что девушки не были тяжело ранены, не умирали от голода или слабости или не были заперты в ущелье. Вместо этого они погибли бы внезапно, например, при пересечении реки или из-за неожиданно обрушившихся на них водных масс. Убедительным объяснением для сценария «игры» было бы то, что с определенного момента, возможно, уже в день их исчезновения, они больше не владели своими телефонами. Похитители или убийцы, которые хотели бы скрыть свое преступление или создать видимость того, что их жертвы попали в аварию или заблудились, скорее всего, выдали бы себя, оставив сообщения от имени своих жертв. Им не удалось бы имитировать характерные формулировки, языковые особенности, ласковые имена или определенные воспоминания. Риск был бы слишком велик. Наконец, существует еще одна возможность, что Крис и Лисанна оставили сообщения, но они не были найдены, потому что, например, были удалены третьим лицом.

[Криминайка]

То есть перекинули фото с SD- карты на компьютер, провели с ними какие-то манипуляции, а затем снова записали обратно на SD-карту, то получается, они перед этим SD-карту отформатировали, иначе на карте были бы во-первых сохранены миниатюры, во-вторых оказались бы записаны дубликаты фотографий, а оригиналы можно было бы восстановить.
Но судя по тому, что оригинальные фото были перезаписаны:

Вот что об этом говорят другие авторы книги:

Разворачиваемый текст

По мнению многих, EXIF-данные фотографий Лисанн, попавших в интернет, показывают, что фотографии были обработаны. Мы хотели выяснить, есть ли в этом доля истины.

При помощи EXIF-данных можно восстановить всю информацию о фотографии. От типа фотокамеры до цветового распределения или настроек. Если фотографии обрабатывались, данные это покажут.

Так как человек, продвигавший «теорию обработки», утверждал, что специалист по EXIF-данным Фил Харви с ним согласен, мы использовали инструмент Харви, чтобы упорядочить данные фотографий Лисанн так, чтобы мы смогли изучить их.

Первый признак, что что-то не так, исходил из количества характеристик, которое при нормальных условиях нельзя было бы ожидать от таких данных. В данном случае были следующие показатели:

Порядок байтов EXIF: Big-endian (Motorola, MM)

Версия JFIF: 1.01

Программное обеспечение: Microsoft Windows Photo Viewer 6.1.7600.16385

Дата преобразования: 17.06.2014 16.56.12

Предупреждение: [minor] Adjusted MakerNotes base by 4214

Дата преобразования: 17.06.2014 16.56.12

Подвыборка Y Cb Cr: YCbCr4:4:0 (12)

Автоматический поворот: Поворот 270 по часовой стрелке (или 90 по часовой стрелке)

Big-Endian представляет собой порядок, в котором записаны данные на карте памяти. Он всегда должен быть одинаков, так как есть два различных способа записать данные на карту памяти (Big-Endian и Little-Endian) и они взаимоисключающие. Так что способ всегда либо один, либо другой. Canon Лисанн записывал фотографии на карту памяти как Little-Endian. Тот факт, что у ряда фотографий был порядок Big-Endian, означает, что с этими фотографиями что-то произошло, то есть они были обработаны.

Мы посмотрели на EXIF-данные и увидели, что 17 июня 2014 года что-то случилось с несколькими фотографиями. Данные девятнадцати фотографий, тринадцати, снятых 1 апреля, и шести, снятых 8 апреля, показывали, что 17 июня 2014 года, через четыре дня после того, как рюкзак передали властям, их обрабатывали при помощи Windows Photo Viewer.

Сначала мы объяснили это тем, что кто-то с телека-нала TVN-2 получил доступ к карте памяти. Тот факт, что дата 17 июня 2014 года в EXIF-данных соответствует показу шоу на TVN-2, во время которого были продемонстрированы фотографии, показался нам не простым совпадением. Мы придерживались этой теории до тех пор, пока не увидели, что те же девятнадцать фотографий хранятся в полицейском досье в двух экземплярах оригиналы и «отредактированные» фотографии. Все копии были подписаны следователем. Мы заметили, что 17 июня 2014 года фотографии были повернуты на 90 градусов панамской полицией с использованием Photo Viewer, а для того, чтобы получше изучить их, яркость некоторых из них была немного увеличена. Таким образом, что касается EXIF-данных, фотографии были обработаны только в той степени, в которой это было нужно властям. Мы не обнаружили в EXIF-данных никаких других следов, указывающих на то, что они были изменены. Только специалист может незаметно изменить дату или время, но это огромная работа. Кроме того, любое выполненное изменение может быть незаметным на первый взгляд, но каждое изменение фиксируется программным обеспечением. Эксперт-криминалист из NFI сразу бы это заметил.

Версия, что в Панаме государственный эксперт изменил данные, а затем отправил карту памяти на исследование в Нидерланды, казалась нам абсолютно неправдоподобной. Если бы панамское правительство на самом деле решило манипулировать доказательствами, экспертизой занимались бы их специалисты.

[Вита]

Вот что об этом говорят другие авторы книги

Я примерно так и написал чуть выше: Панамские следователи получив в распоряжение карту памяти с фотографиями вместо долгого пути - передать карту экспертам и дожидаться от них информации, выбрали короткий - самим получить информацию с карты, подключив её к компьютеру и осмотреть содержимое. При этом, не обладая такими же, как у профильных экспертов, знаниями и навыками, они допустили искажение первоначально хранящейся на карте памяти информации.
Злого умысла тут не было - скорее разгильдяйство.
Их желание получить информацию быстрее понятно.
Если бы эта информация в конечном итоге помогла им найти пропавших (в каком бы состоянии те не были), то, думаю, к их действиям вообще не было бы никаких претензий.
То, что в итоге они передали экспертам карту "как есть" со следами их манипуляций, но без объяснений, что они эти манипуляции проделывали не удивительно. Они, возможно, и не подозревали, что эти самые их манипуляции внесли искажения в исходную информацию на карте. Это лишь подтверждает их слабые знания по данному вопросу.

те же девятнадцать фотографий хранятся в полицейском досье в двух экземплярах оригиналы и «отредактированные» фотографии

Это тоже я предположил в предыдущем своем посте.
Но авторы, которые, судя по этим словам, имели доступ к компьютеру полиции Панамы, где хранились исходные файлы, не указали, искали ли они там пресловутое 509 фото или его следы, среди удаленных файлов.
Непонятно также, были ли переданы ими Голландским экспертам оригиналы фотографий, обнаруженные в полицейском досье?
Может быть, это дало бы какую-то дополнительную полезную информацию.

[Temperance]

имело место именно форматирование карты.
Или же, как вариант, фотографии записали на другую, новую карту, которая не принадлежала девушкам.

Я тоже так думала, но не получается. На карте были остатки удаленных фото, которые восстановил эксперт, что говорит о том, что карта все-таки оригинальная, и она не подвергалась форматированию.
Цитата из книги Снорена и Вест:
На карте, которую NFI называет памятью средней емкости, были обнаружены 470 фотофайлов и 7 видеофайлов, остатки 7 видеофайлов и 64 фотофайлов.
Кроме того, они восстановили 4 видеофайла, удаленных до 28 марта.
Цитата какая-то сумбурная, что характерно, но смысл понятен, что-то там было удаленное хозяйкой и даже пригодное для восстановления.

[Криминайка]

Ромэн упоминал, что оригиналы ему были переданы на отдельных носителях, однако они (он и Мэтт) не могут быть полностью уверены, что это действительно оригиналы, поскольку у некоторых данных уже были изменения, а на Мирадоре нет EXIF-данных так говорил Кристиан. Если говорить об оригинальной карте, то удивительно, что она осталась в хорошем физическом состоянии и может использоваться многократно. Однако я нашла информацию из книги, что, судя по фотографиям, оба телефона были в хорошем состоянии и не имели внешних повреждений. То же самое касается и камеры. Эксперт смог извлечь изображения с SD-карты. Возможно, Temperance посмотрит в английской версии в главе о рюкзаке.

Согласно другим источникам, представители из Голландии якобы уже посетили офис Питти 16-17 июня и были проинформированы о редактировании фотографий, причем изменения были внесены 17 июня. Если всё это происходило по неопытности или в спешке, то почему редактировались лишь некоторые фотографии, а не все? Если Лиссанн никогда не удаляла снимки с камеры, даже самые неудачные, то что именно восстанавливалось?

[Вита]

Я тоже так думала, но не получается. На карте были остатки удаленных фото, которые восстановил эксперт, что говорит о том, что карта все-таки оригинальная, и она не подвергалась форматированию.

Тут не подходит версия, что полиция Панамы использовала новую Флеш-карту. На ней действительно не могло остаться остатков удаленных файлов.

Разворачиваемый текст

Хотя, строго говоря, специалисты, применяя соответствующие программы, могли бы, при желании, и на новую флешку записать удаленные файлы. Для этого копирование осуществляется на более низком уровне, игнорирующем файловую систему карты, побитово. Т.е. программа считывает на оригинальной карте (или её виртуальном образе) содержимое каждой ячейки памяти и записывает такое же точно содержимое на новую карту.
Но тут, я уверен, ничего такого не делали.

Однако форматирование карты не исключает того, что на ней можно после форматирования найти следы удаленных ранее, или в процессе форматирования, файлов.
Дело в том, что обычное форматирование заключается в том, что удаляются лишь записи, содержащие информацию о файле, в таблице FAT, а сами файлы при этом физически остаются на флешке. Просто после форматирования система их не видит и считает место, которое они занимают пустым.
Но программы восстановления файлов могут найти в этом пустом месте цепочки кластеров, содержащих информацию и следуя по этим цепочкам восстановить исходный файл.
Если ни один кластер цепочки не был перезаписан, то файл восстанавливается полностью, за исключением, возможно, некоторых его атрибутов.
Если часть кластеров были перезаписаны, то длинная цепочка рвется на несколько частей. Если обрывок цепочки достаточно длинный, то можно восстановить часть файла. Например, половину изображения на фотографии или отрывок из длинного видеофайла.

Добавлено позже:

Если всё это происходило по неопытности или в спешке, то почему редактировались лишь некоторые фотографии, а не все?

Тут как раз понятно. Судя по тем описаниям, что даны выше, редактированию подверглись два типа фотографий:
- Требующие для нормального просмотра поворота на 90 или 270градусов были повернуты. Тут всё очевидно.
- Требующие увеличения яркости-контрастности были осветлены. Тут, видимо, модификации подверглись лишь некоторые из "ночных" фотографий. Какие именно - непонятно. Но, логично предположить, что на них было что-то такое, что привлекло внимание следователей и они захотели получше рассмотреть изображение. Почему не все? Возможно, они просто убедились, что толком рассмотреть ничего невозможно и эти манипуляции бесполезны.

Добавлено позже:

Если Лиссанн никогда не удаляла снимки с камеры, даже самые неудачные, то что именно восстанавливалось?

Да. Это было бы интересно, посмотреть восстановленные фото-видео. Или хотя бы их описание.
Остается только предполагать что:
- На самом деле информация о том, что Лисанн никогда не удаляла снимки с камеры является ложной.
- Флешка, вопреки некоторым сообщениям, была не новой, уже использовалась прежде и были восстановлены фото-видео снятые ранее (т.е. до отъезда в Панаму) и не имеющие отношения к делу о пропаже.
- Были восстановлены какие-то временные файлы, созданные и удаленные операционной системой фотоаппарата (это тогда должны быть в том или ином виде дубликаты тех фотографий и видеозаписей, что нашли на флешке).
Возможно также, что имели место быть одновременно два или все три из этих вариантов.

[GreK]

- Флешка, вопреки некоторым сообщениям, была не новой, уже использовалась прежде и были восстановлены фото-видео снятые ранее (т.е. до отъезда в Панаму) и не имеющие отношения к делу о пропаже.
- Были восстановлены какие-то временные файлы, созданные и удаленные операционной системой фотоаппарата (это тогда должны быть в том или ином виде дубликаты тех фотографий и видеозаписей, что нашли на флешке).
Возможно также, что имели место быть одновременно два или все три из этих вариантов.

Флешка была новой, куплена вместе с фотоаппаратом.

Все восстановленные файлы были датированы до поездки в Панаму.

Там есть фото и видео, а также мелкие эскизы для быстрого предпросмотра - созданные фотоаппаратом, это сильно уменьшенные копии снимков, дубликаты.