Загадочная смерть в панамских джунглях

[Вита]

Флешка была новой, куплена вместе с фотоаппаратом.

Простите, тут, видимо мы просто разошлись в терминологии.
Я, конечно, не имел в виду, что флешку нашли в могиле Тутухамона или купили её с рук подержанную.
Под термином "Новая флешка" я подразумевал, что она использовалась впервые после покупки.
В этом смысле если на неё уже делались какие-то фотографии в Голландии, а потом, перед поездкой в Панаму, их скопировали куда-то, а флешку очистили/отформатировали, то она уже не "новая флешка".

[Криминайка]

Я нашла информацию, это должно быть в первой книге или в немецкой версии, в английской, возможно, этого нет. Техникам удалось восстановить обе фотографии с камеры, речь идет о снимках и миниатюрах, восстановленных с помощью криминалистического программного обеспечения. Это произошло в Нидерландах. Панамские следователи смогли просмотреть соответствующие изображения непосредственно на камере или перенести их на компьютер.

Однако, конечно, неясно, кто именно это сделал и где. Оригинальные фотографии действительно были перезаписаны временными. Также не известно, где хранятся оригиналы и существуют ли они вообще. Всё именно так, как есть.
Я поищу дополнительную информацию, возможно, она поможет прояснить ситуацию.

[GreK]

Под термином "Новая флешка" я подразумевал, что она использовалась впервые после покупки.
В этом смысле если на неё уже делались какие-то фотографии в Голландии, а потом, перед поездкой в Панаму, их скопировали куда-то, а флешку очистили/отформатировали, то она уже не "новая флешка".

Тогда термин "чистая" больше подходит, а не "новая". Флешка была куплена новой запечатанной, вместе с фотоаппаратом, вставлена в него, и больше не вынималась. После аэропорта не было снято ни одного видео. Поэтому логично предположить что удалённое - это типа тестов, изучения, проб и ошибок.

Я понял о чём речь, типа перед поездкой карта была очищена, а содержимое скопировано предварительно в другое место. Но нет, нумерация имеет продолжение, даты и т.д.

форматирование карты

А почему нельзя перезаписать конкретно нужную область? Смотрим FAT - фото 0509 занимает кластера 19000 - 19887 (к примеру), берём и перезаписываем нулями область 19000 - 19887. Всё, ничего не восстановиться никогда. Назовём это низкоуровневое выборочное форматирование части карты памяти. Так же и с клонированием, клонируем всё до фото 0509, а затем копируем остальное с 0510 просто копированием, и будет всё строго по очереди без дефрагментации и разрывов. А что было до 0509 восстановиться - оно же полный клон оригинала.

[Вита]

А почему нельзя перезаписать конкретно нужную область? Смотрим FAT - фото 0509 занимает кластера 19000 - 19887 (к примеру), берём и перезаписываем нулями область 19000 - 19887. Всё, ничего не восстановиться никогда.

Такое возможно. Именно так и уничтожается информация на носителях. Вернее, это один из методов. Наиболее параноидальный метод для гарантированного уничтожения информации более 30 раз подряд перезаписывает занимаемое ею место то нулями, то единицами, то случайными цифрами.
Но(!) для этого нужно использовать специальные программы для уничтожения информации. Потому как обычные программы и средства операционных систем "заточены" под быстродействие. И поэтому все они при удалении файла стирают лишь запись о нём.
Так случайно не сделаешь.

будет всё строго по очереди без дефрагментации и разрывов

А это тоже не факт, что может получиться стандартными средствами операционной системы.
Дело в том, что первое поколение флеш-памяти всех типов страдало тем, что каждая отдельно взятая ячейка памяти имела ограниченное, не очень-то и большое число, циклов перезаписи информации до выхода её из строя. В результате придумали и внедрили такой способ повышения срока наработки на отказ: операционная система подсчитывает сколько раз была перезаписана ячейка, а когда нужно произвести запись она использует для этого те ячейки, которые были наименьшее число раз перезаписаны.
Современные операционки, начиная, если не ошибаюсь, с Windows XP такой способностью обладают.
Где-то выше в этой теме, цитируя экспертов, упоминали, что операционная система фотоаппарата поступает подобным же образом.
Так что, скорее всего, ни компьютер, ни фотоаппарат не стали бы перезаписывать стертый файл, учитывая, что на носители вдоволь свободного места.
Хотя... лично я не знаю точного алгоритма работы этих систем. Могу допустить, что такой способ может быть организован циклически и тогда несколько последовательных перезаписей одних и тех же ячеек допустимо.

[Temperance]

Возможно, Temperance посмотрит в английской версии в главе о рюкзаке.

Ничего нового там нет.

Приводится цитата из отчета (прямая речь эксперта):
"Я заметил, что в приведенной выше серии фотографий не хватает одного файла: IMG_0509.JPG. Я увидел, что это бросающийся в глаза факт, поскольку предыдущая фотография IMG_0508.JPG (...) была датирована 1 апреля 2014 года, 13:54 и следующая IMG_0510.JPG была датирована 8 апреля 2014 года, 1:29 ночи. Я также заметил, что за файлом IMG_0510.JPG следовала серия из 100 фотофайлов с темными ночными изображениями, локацию которых было трудно определить. Следственная группа попросила меня дополнительно разобраться в этом и выяснить, есть ли на диске следы пропавшего файла.
Используя программу Encase, я тщательно обыскал файлы улик на диске в поисках следов пропавшего файла. Я предположил, что файл, вероятно, был удален вручную в неизвестное время после 1 апреля 2014 года, 13:54. Однако, мне не удалось найти никаких следов этого недостающего файла в файловой системе FAT32 носителя данных. Затем я использовал программу восстановления данных Photorec версии 6.14 от CGSecurity для поиска в свободном пространстве хранения (нераспределенных кластерах) носителя данных остатков файлов фотографий, которые еще можно было восстановить из этого места хранения. Эта программа обычно достигает очень хороших результатов. [...] Результаты программы Photorec не выявили следов пропавшего изображения IMG_0509.JPG."

После следует уже текст авторов:
Судебно-медицинский эксперт выполняет серию дополнительных анализов и признает, что секторы файла 508 идеально стыкуются со следующей фотографией 510.  Если бы 509 был сделан, а затем удален вручную, это обычно было бы замечено по пробелу в файловой системе.
Ни одна из ранее удаленных на камере фотографий, которые можно было восстановить с помощью криминалистического программного обеспечения, не вызвала такой ошибки в файловой системе. В конечном итоге эксперт делает сухой вывод: "Мне не удалось определить точное время удаления файла и обстоятельства удаления".

Забавный момент - Снорен и Вест с подельницей Питти и тут опозорились:

Авторы "Затерянных в джунглях" также провели тесты с камерой и обнаружили явную возможность того, что девушки вынули карту памяти после съемки 508-го снимка и вставили новую, чтобы следующая фотография сохранилась на этой как 509. Они затем снова поменяли SD-карты и следующему фото на найденной карте памяти был присвоен номер 510. Независимо от того, был ли повод для столь странного действия, неизвестно, была ли у Крис и Лисанн с собой вторая SD-карта.
Но именно это утверждают авторы, приводя выдуманную историю панамского следователя, который, как они утверждают, рассказал им, что в рюкзаке были найдены две карты памяти. Поскольку в материалах об этом нигде не упоминается, мы предполагаем, что этот эпизод является просто выдумкой. Авторы, вероятно, думали, что смогут реализовать эту выдумку, поскольку предполагали, что только они имеют доступ к файлам. В то время, когда они писали свою книгу, они не знали, что Мэтт из Imperfect Plan имел к ним доступ. Однако блоггер Imperfect Plan указал на несоответствие по электронной почте после выхода книги, в результате чего авторы тайно удалили этот отрывок из международной версии своей книги и оставили смену SD-карты лишь как теоретическую возможность. Поскольку они не делают этого для голландской версии книги, в субреддите r/KremersFroon разгораются жаркие дискуссии, когда пользователи Reddit обнаруживают, что работы различаются значительными отрывками.
"Панамский следователь", очевидно, Питти.

[GreK]

Но(!) для этого нужно использовать специальные программы для уничтожения информации. Потому как обычные программы и средства операционных систем "заточены" под быстродействие. И поэтому все они при удалении файла стирают лишь запись о нём.

Не совсем они специальные, бесплатных много, есть под DOS есть под Windows, та же Victoria например. В основном форматируют всё целиком без возможности задать начало и конец. В фотоаппарате Canon был низкоуровневый формат в меню, много флешек восстанавливалось таким способом, комп, телефон не может отформатировать, а фотик раз и порядок.

Так случайно не сделаешь.

Такое бывает, когда записывается информация в саму таблицу FAT и в этот момент происходит сбой - с электричеством например, система зависает, Reset если нажать и т.д. запись началась но она не завершилась, может вообще вся таблица испортиться.

В итоге, сделать такую карту памяти сложно, но если заморочиться то возможно, как минимум двумя способами.