Вот почему гонка между разработчиками античитов и создателями читов становится всё интереснее.

Riot Games продолжает развивать Vanguard, усиливая защиту на аппаратном уровне: аппаратные механизмы доверия, аттестацию, VBS/HVCI, IOMMU и другие средства безопасности платформы.

В то же время реверс-инжиниринг с помощью ИИ позволяет значительно быстрее анализировать программное обеспечение, работающее поверх этих механизмов защиты.

Один из исследователей демонстрирует результаты масштабной девиртуализации внутренних компонентов VGK и утверждает, что теперь способен полностью девиртуализировать его.

Что касается Easy Anti-Cheat (EAC), другой исследователь опубликовал инструменты, позволяющие восстановить значительную часть сильно виртуализированного Linux-образца EAC в виде читаемого кода и артефактов для IDA.

https://github.com/19h/eac-linux-devirt

Здесь прослеживается важная параллель с EDR-системами.

Эффективность EDR зависит от качества разработки механизмов обнаружения угроз, их активного поиска (threat hunting) и исследований, лежащих в основе этих процессов. С античитами ситуация аналогичная.

Необходимы исследователи, которые постоянно изучают новые техники, инженеры по обнаружению угроз, превращающие результаты исследований в полезную телеметрию и правила детектирования, а также специалисты, активно ищущие подозрительное поведение, которое существующие правила могут пропускать.

Это требует постоянного отслеживания новых методов и технологий:

- Новых архитектур читов.
- Злоупотребления механизмами ядра ОС.
- BYOVD (Bring Your Own Vulnerable Driver), использования уязвимых драйверов.
- Гипервизоров.
- DMA, прямого доступа к памяти.
- Манипуляций с прошивками.
- Подмены и манипуляций с пользовательским вводом.
- Виртуализации кода и обфускации.
- Новых способов обхода защиты.

Это противостояние существовало и раньше. Однако ИИ ускоряет его, снижая порог входа в реверс-инжиниринг, классификацию, девиртуализацию и исследования.

В результате обеим сторонам приходится всё быстрее совершенствовать свои методы.

Отдельного уважения заслуживает команда Vanguard. Очевидно, что её специалисты следят за передовыми исследованиями в области безопасности Windows, аппаратных механизмов доверия, защиты ядра и античит-систем.

Недавние изменения Vanguard On-Demand также показывают, насколько быстро развивается защитная сторона.

Таким образом, цикл исследований и разработки новых методов с обеих сторон становится значительно короче.

Куда дальше приведёт эта гонка вооружений?

👉 @cybersecinform