Пресс-служба кавказских моджахедов оставила «цифровой след»

Вы любите конспирологию? Если нет, то, вероятно, вы слишком узко мыслите…

Меня, как и многих других здравомыслящих граждан, не покидают некоторые сомнения относительно происхождения опубликованного накануне видеоролика с обращением амира Имарата Кавказ Докку Абу Усмана (Умарова), где он, если верить звуковой дорожке, возлагает на себя ответственность за организацию терактов в московском метро 29 марта. Тем не менее, происходящая в пространстве Интернет и всевозможных СМИ информационная война со стороны тех или иных заинтересованных лиц не даёт возможности принимать на веру какую-либо из версий об истинных причинах, заказчиках и организаторах теракта без существенной доли сомнений в подлинности и полноте появляющихся сообщений, независимо от авторитетности их источников.

По свидетельствам некоторых пользователей первоначальная версия видеоролика, возможно содержавшая некоторые явные недоработки, была довольно скоро удалена самим закачавшим после публикации на YouTube. К сожалению, мне до сих пор не удалось обнаружить на просторах Интернет какие-либо резервные источники конкретно с этим экземпляром видео.

Грузинский сайт «Клуб экспертов» сообщает:

Этот видеоролик сразу же породил больше вопросов, чем ответов. Недоумение вызывает хотя бы то, что всего за несколько часов до появления заявления Умарова агентство Reuters распространило заявление пресс-секретаря Имарата Кавказ Шамсудина Батукаева, который категорически опровергал предположения о причастности северокавказских боевиков к терактам в метро. «Мы не проводили атаку в Москве и не знаем, кто это сделал,— сказал Батукаев,— Конечно, мы планируем атаки на российские экономические объекты, но наши планы не включают атаки на простых людей».

Многие пользователи интернета сразу обратили внимание, что видео с Умаровым записано на фоне зеленой травы. Возможно ли такое в конце марта в горах Северного Кавказа, когда «зеленка» только начинает пробиваться в низинах? И этот вопрос переводит к технической стороне дела.

При внимательном просмотре видеоролика заметно несоответствие движения губ и голоса. А слегка «плывущий» голос Умарова наводит на мысли об обработке через преобразователь звука с целью добиться определенного тембра. Кроме того, «голос Умарова» звучит очень странно на фоне четко звучащих голосов птиц. Создается уверенное впечатление сделанной отдельно записи — на диктофон или микропорт — и впоследствии наложенной на видеоряд. В принципе, монтаж аудиодорожки практически не вызывает сомнений у специалистов. Есть подозрение на монтаж и в отношении видео — там можно предположить цифровую обработку области губ — однако качество видеоролика столь низкое, что продвинуться дальше подозрений вряд ли удастся.

Следует отметить, что этот видеоролик был выложен на популярном видеохостинге YouTube в середине дня 31 марта и вскоре после этого удален пользователем — однако сохранился благодаря другим пользователям, скопировавшим запись с Докку Умаровым. А разместил это видео у себя самым первым сайт «Хунафа», который позиционируется как информационный ресурс осетинских исламистов, однако неоднократно вызывал подозрения, что его авторы обитают скорее на Лубянке. Вторым в очереди стал тоже неоднозначный сайт «Джамаатшариат». И только вечером видеоролик с Абу Усманом опубликовал «Кавказцентр», который перед этим проводил линию на отрицание связи северокавказских повстанцев с терактами в московском метро.

В свете своих профессиональных интересов в области информационных технологий и информационной безопасности мне хотелось бы исследовать прежде всего техническую сторону публикуемых материалов. К чему и приступим.

Моё внимание привлёк уже упомянутый сайт «Хунафа», где обнаружилась с виду всё та же версия видеоролика, теперь известная широкой общественности. Кроме знакомого видео с YouTube в блоговом посте имеются ссылки на скачиваемые WMV и 3GP видеофайлы, из которых можно понять, что исходное видео в данном случае было размещено на сайте некоммерческой цифровой библиотеки Internet Archive. Не составляет хитрости на основании приведённых ссылок на конкретные файлы догадаться про адрес страницы с детальной информацией об опубликованном ресурсе.

Вникнув в список всех доступных файлов можно понять, что исходными (закаченными распространителем) являются WMV и 3GP файлы. Файлы в остальные форматы, очевидно, конвертировались средствами Internet Archive.

Автоматически генерируемый XML-контейнер с метаданными ресурса сообщает дату-время, когда ресурс был опубликован в Internet Archive, а также предполагаемый адрес e-mail закачавшего:

<uploader>[email protected]</uploader>
<addeddate>2010-03-31 15:19:09</addeddate>
<publicdate>2010-03-31 15:24:20</publicdate>

Далее меня естественным образом посещает мысль о возможном присутствии тех или иных метаданных в исходных видеофайлах. Детальное изучение скаченного WMV файла показывает, что «родных» для формата Windows Media метаданных он не содержит, однако, к моему большому удивлению, файл содержит метаданные в стандарте XMP, что несёт собой даже больше, чем стоило ожидать.

Мне не удалось найти доступные и готовые к применению инструменты для извлечения и наглядного декодирования XMP метаданных из WMV контейнера, поэтому я воспользовался наиболее универсальным в любом случае средством для изучения и извлечения данных — hex-редактором. Таким образом, я извлёк из WMV файла фрагмент, содержащий XML-данные, соответствующие определённой стандартом XMP схеме, что, тем не менее, не мешает вникнуть в его содержимое и без каких-либо вспомогательных средств — достаточно открыть его в любом продвинутом текстовом редакторе с подсветкой синтаксиса (для большей наглядности).

Первое, на что стоит обратить внимание — местное время создания файла:

xmp:CreateDate=»2010-03-31T16:09:36.124Z»
   xmp:ModifyDate=»2010-03-31T16:09:36.00566+03:00″
   xmp:MetadataDate=»2010-03-31T19:01:45+03:00″

Поскольку перевод на летнее время (при необходимости) в большинстве современных операционных систем происходит автоматически, можно предположить, что создатель ролика находится в одной из стран, использующих восточноевропейское летнее время (EEST). Наиболее вероятным кажутся варианты: Финляндия (там размещён почтовый сервер домена kavkaz.tv — mail.kavkaz.tv / 80.81.183.151), Прибалтика, Турция.

Многочисленные упоминания названия программного продукта позволяют сделать вывод о том, что видеоролик изготовлен с помощью видеоредактора Adobe Premiere Pro CS4:
stEvt:softwareAgent=»Adobe Premiere Pro 4.0″

Имеется также название файла-проекта, что однозначно говорит об использовании платформы Windows:
<creatorAtom:windowsAtom
    creatorAtom:extension=».prproj»
    creatorAtom:invocationFlags=»/L»
    creatorAtom:uncProjectPath=»\\?\C:\Temp\Premiere\doka_mos.prproj»/>

Дальнейшее изучение структуры метаданных выявляет наличие информации о составных частях проекта и их параметрах. Секция

<xmpMM:Ingredients> содержит имена компонентов/файлов, включённых в проект на этапе монтажа:
stRef:filePath=»KAVKAZTV.wmv»
stRef:filePath=»moscow_met_2010_dok_or.wmv»
stRef:filePath=»moscow_met_2010_dok_or_zvuk.mp3″
stRef:filePath=»kavkazcenter.com 2.wmv»
stRef:filePath=»Sequence 02″
stRef:filePath=»logo.png»

Файл “KAVKAZTV.wmv”, очевидно, содержал вступительную заставку, “kavkazcenter.com 2.wmv” — заключительную. Наибольший интерес во всём исследовании вызывает пара файлов “moscow_met_2010_dok_or.wmv” и “moscow_met_2010_dok_or_zvuk.mp3”, содержащих основную смысловую часть. Наличие второго вполне недвусмысленным образом предполагает замену оригинальной звуковой дорожки, вывод о чём наиболее чуткие эксперты сделали сразу же после просмотра опубликованного видео.

Секция <xmpMM:Pantry> содержит некоторые технические характеристики о составных частях, в том числе наложенной звуковой дорожке

(“moscow_met_2010_dok_or_zvuk.mp3”):
xmpDM:audioSampleRate=»44100″
xmpDM:audioSampleType=»32-bit»
xmpDM:audioChannelType=»2″
xmpDM:audioCompressor=»»
xmpDM:duration=»4:06.200″

Как видно, параметры аудиозаписи чересчур уж хороши (32-битный сэмплинг) для съёмки на бытовую цифровую видеокамеру или фотоаппарат, кроме того, дорожка имеет меньшую продолжительность, чем результирующий ролик (4:26). Полагаю, этим и объясняется ощутимое изменение в качестве звука начиная с 18 секунды видео.

Файл “moscow_met_2010_dok_or.wmv” первоначально имел иные характеристики звуковой дорожки:

xmpDM:audioChannelType=»Stereo»
xmpDM:audioSampleType=»16Int»
xmpDM:audioSampleRate=»44 100″

Характеристики видеоизображения из “moscow_met_2010_dok_or.wmv”:

<xmpDM:videoFrameSize stDim:w=»320″ stDim:h=»240″ stDim:unit=»pixel»/>

Можно предположить, что это или действительно размерность исходного видео (маловероятно ввиду существенного несоответствия качеству звуковой дорожки), или же данный файл является первоначальной версией видеоролика, уже подготовленной к публикации, но импортированный в программу видеомонтажа с целью доработки.

Помимо наиболее существенных моментов, в метаданных встречаются упоминания даты-времени создания/добавления/изменения компонентов проекта:

для “KAVKAZTV.wmv”
xmp:MetadataDate=»2009-08-06T18:53:37+03:00″
xmp:CreateDate=»2009-08-06T15:53:36.804Z»
для “moscow_met_2010_dok_or.wmv”
xmp:MetadataDate=»2010-03-31T17:39:19+03:00″
xmp:CreateDate=»2010-03-31T14:32:17.039Z»
для “moscow_met_2010_dok_or_zvuk.mp3”
xmp:MetadataDate=»2010-03-31T17:39:21+03:00″
для “kavkazcenter.com 2.wmv”
xmp:MetadataDate=»2009-10-01T19:58:53+03:00″
xmp:CreateDate=»2009-10-01T16:58:53.063Z»

Исходя из проанализированных «хвостов» WMV файла можно сделать вывод о невысокой квалификации человека, склепавшего рассматриваемый видеоролик, в области видеомонтажа, а возможно и информационных технологиях в целом. Однако, скорее всего, он занимается этим на более-менее постоянной основе (обратите внимание на прошлогодние даты файлов с заставками).

Изучение метаданных 3GP файла не выявило ничего особенно интересного: файл сконвертирован в 18:09:07 какого-то времени из WMV формата с помощью программы SUPER.

Тем, кому захочется удостовериться собственными глазами в наличии всех описанных незаурядных следов, предлагаю скачать XML-файл с метаданными. Для более глубокого их понимания и интерпретации можно скачать официальную спецификацию XMP с описанием стандартных схем и их свойств: “XMP Specification Part 2: Standard Schemas”.

Какие-либо итоговые выводы из всего вышесказанного рекомендую каждому сделать самостоятельно.

_http://lux-in-tenebris.livejournal.com/477679.html