Как работает античит FACEIT?

FACEIT AC широко считается одним из самых агрессивных античитов в соревновательном CS2. Ниже — честный технический разбор того, что он делает, как работает и где его архитектурные пределы.

FACEIT AC — ЗОНА ОБНАРУЖЕНИЯ VS АРХИТЕКТУРНЫЙ ПРЕДЕЛ ЗОНА ОБНАРУЖЕНИЯ FACEIT AC — Ring 0 и выше ПРОЦЕССЫ И ПАМЯТЬ Запущенные процессы Инжектированные DLL Области памяти Доступ к handle Загрузка модулей Ring 3 → Ring 0 ЦЕЛОСТНОСТЬ ЯДРА Хуки и патчи Базовые срезы секций PML4 таблицы страниц Чёрный список драйверов Директория объектов Структуры Ring 0 ЖЕЛЕЗО И ПОВЕДЕНИЕ DMA device-объекты BYOVD чёрный список 20 уязвимых драйверов Паттерны ввода (сервер) Поведенческий анализ железо и сторона сервера RING 0 ПРЕДЕЛ НИЖЕ RING 0 — НЕ ОБНАРУЖИВАЕТСЯ Ring -1 · Ring -2 Аппаратно-обеспеченные режимы привилегий CPU. x86-архитектура изолирует их на уровне кремния. Ни одна инструкция Ring 0 не может исследовать, опрашивать или вмешиваться в выполнение здесь. Код исполняется — изоляция обеспечена железом. У FACEIT AC нет механизма достичь этого уровня

Только для участников

Эта статья содержит оригинальное исследование обратной разработки. Создайте бесплатный аккаунт, чтобы прочитать полный анализ.