الأمان ومكافحة الغش

يتضمن HandyCafe نظام مكافحة غش للمشغّل ونظام أمان لأجهزة العملاء. يتكون من جزأين: لوحة الأمان حيث تراقب الاكتشافات وتدير عمليات الحظر، وصفحة إعدادات الأمان حيث تُكوّن أي الحمايات تعمل على أجهزة الكمبيوتر العميلة. استخدمه لتحصين عمليات العميل واكتشاف أدوات الغش وأدوات تنقيح الأخطاء وحظر الأجهزة ببصمة العتاد والتحقق من حسابات Steam المرتبطة بحثًا عن حظر VAC.

لوحة الأمان

تنقسم لوحة الأمان إلى ثلاثة تبويبات: أحداث التلاعب والقائمة السوداء لـ HWID وSteam VAC. انقر على تبويب أعلى اللوحة للتبديل بينها.

أحداث التلاعب

يعرض تبويب أحداث التلاعب سجلًا لاكتشافات مكافحة الغش التي أبلغت عنها أجهزة الكمبيوتر العميلة. يسرد كل صف الوقت والكمبيوتر (الاسم الودي مع عنوان MAC المعروض تحته) وفئة الحدث والخطورة ووصفًا بلغة واضحة لما تم اكتشافه.

استخدم صف التصفية في الأعلى لتضييق القائمة. يمكنك اختيار تاريخ (يبدأ العرض من اليوم افتراضيًا ويُعاد الجلب عند تغييره) واختيار فئة واختيار خطورة (حرجة أو تحذير أو معلومة) والكتابة في خانة البحث حسب الكمبيوتر أو MAC. يعيد زر تحديث تحميل الأحداث. يُظهر العداد بجانب عوامل التصفية عدد الأحداث المطابقة لعوامل التصفية الحالية من إجمالي الأحداث المُحمّلة.

تشمل فئات الأحداث فحص العمليات وفحص النوافذ وفحص التعريفات ومُنقّح الأخطاء ومحرّر الذاكرة والحاقن وغش الألعاب وسلامة الملف الثنائي وتوقيع الشيفرة ومراقبة DNS والعبث بالوقت. عند عدم وجود اكتشافات للتاريخ المحدد تعرض اللوحة لا توجد أحداث تلاعب في هذا التاريخ.

القائمة السوداء لـ HWID

يسرد تبويب القائمة السوداء لـ HWID الأجهزة المحظورة ببصمة العتاد (تجزئة HWID). يعرض الجدول تجزئة HWID وعينة MAC والسبب وملاحظة والوقت. يُظهر العداد في الأعلى عدد عمليات الحظر الموجودة.

لحظر جهاز انقر على إضافة حظر HWID. في النافذة أدخل MAC (بتنسيق مثل AA:BB:CC:DD:EE:FF) وسببًا مطلوبًا وملاحظة اختيارية، ثم انقر على إضافة حظر. يحل الخادم عنوان MAC إلى بصمة الجهاز ويسجل الحظر. استخدم إلغاء لإغلاق النافذة دون حفظ.

لرفع الحظر استخدم إجراء الإزالة على الصف (إزالة الحظر). يعيد زر تحديث تحميل القائمة. عند عدم وجود عمليات حظر يعرض الجدول لا توجد عمليات حظر HWID.

Steam VAC

يتحقق تبويب Steam VAC من حسابات Steam المرتبطة بالأعضاء بحثًا عن حظر VAC باستخدام واجهة Steam Web API.

أدخل مفتاحك في حقل مفتاح Steam Web API وانقر على حفظ. يقرأ التلميح: مطلوب لعمليات البحث عن حظر VAC. احصل على واحد من steamcommunity.com/dev/apikey.

ضمن مسح VAC يُجري زر افحص الآن مسحًا يدويًا. يفحص المسح حساب Steam لكل عضو مرتبط بحثًا عن حظر VAC ويعمل يوميًا تلقائيًا. يبقى زر افحص الآن معطلًا حتى يُحفظ مفتاح Steam Web API. يعرض نص الحالة وقت آخر مسح أو لم يُجرَ أي مسح بعد إذا لم يُشغّل أي مسح.

تكوين أمان العميل

تتحكم صفحة إعدادات أمان العميل في الحمايات التي يطبقها كل جهاز كمبيوتر عميل. تنقسم إلى تحصين العمليات ومراقب التلاعب.

استخدم المفتاح الرئيسي تفعيل حماية أمان العميل لتشغيل النظام بأكمله أو إيقافه. عند تعطيله لا يطبق العميل أي تحصين للعمليات ولا يشغّل أي مجسات لمراقب التلاعب. تشير لافتة أسفل المفتاح إلى أن الملفات الثنائية لـ HandyCafe (العميل والخادم والحارس) مدرجة دائمًا في القائمة البيضاء ولن تضع الحمايات علامة عليها أبدًا. لا تظهر الأقسام التفصيلية إلا عندما يكون المفتاح الرئيسي مُفعّلًا.

هذه صفحة فرعية من الإعدادات. تُحفظ التغييرات بزر حفظ على مستوى الصفحة، لا بزر منفصل داخل القسم. ينجح الحفظ بعد أن يقرّ كل عميل متصل مدعوم بأن التكوين الجديد نشط في الذاكرة. تُعاد محاولة الإيصال تلقائيًا. يحافظ فشل الإيصال على صفحة الإعدادات كحالة غير محفوظة بحيث يمكنك إعادة المحاولة. يستقبل العملاء غير المتصلين التكوين المحفوظ عند إعادة الاتصال.

تحصين العمليات

يطبق تحصين العمليات سياسات التحصين الذاتي للعملية عند بدء تشغيل العميل. يحمل كل مفتاح تبديل شارة خطورة (خطورة منخفضة أو خطورة متوسطة أو خطورة عالية) وتلميحًا يصف وظيفته. الخيارات المتاحة:

حماية الذاكرة (DACL): تستبدل قائمة DACL الخاصة بالعملية بحيث تفقد الرموز المميزة غير الإدارية صلاحيات القراءة والكتابة والوصول إلى الخيوط. تحظر ربط Cheat Engine القياسي.
DEP دائم: يبقي منع تنفيذ البيانات (DEP) دائمًا بحيث يظل المكدس والكومة غير قابلين للتنفيذ.
منع الشيفرة الديناميكية (خطورة عالية): يحظر تخصيصات JIT والتخصيصات القابلة للتنفيذ. قد يعطّل JIT لمظللات تعريف GPU على بعض الأنظمة ويتسبب في فشل التقاط الشاشة والتحكم عن بُعد.
سياسة توقيع AppLocker/WDAC (خطورة متوسطة): تُدخل العملية ضمن قواعد توقيع الملفات الثنائية الموجودة في AppLocker أو WDAC لديك.
مرشّح تحميل DLL (خطورة متوسطة): يحظر تحميل ملفات DLL من صور بعيدة ويفضّل System32 ويحظر الصور منخفضة السلامة. قد يعطّل بعض التراكبات الخاصة بالموردين.
حظر AppInit_DLLs / IME: يحظر متجهات الحقن AppInit_DLLs وIME وWinsock LSP.
فحص صارم للمقابض (خطورة عالية): يطلق خطأ عند الاستخدام السيئ للمقابض. أي خلل في نظافة المقابض في مكتبة طرف ثالث سيتسبب في تعطل العملية.
Linux: حظر ptrace: يمنع ربط ptrace ومُنقّح الأخطاء للمستخدمين غير الجذر على Linux.
macOS: رفض ربط مُنقّح الأخطاء: يرفض أي ربط لاحق لمُنقّح أخطاء على macOS.

مراقب التلاعب

يشغّل مراقب التلاعب مجسات خلفية للتحقق من أدوات الغش وأدوات تنقيح الأخطاء والحاقنات. تظهر نتائج الاكتشاف والإنفاذ في تبويب أحداث التلاعب. المجسات المتاحة:

اكتشاف Cheat Engine وأداة تحرير الذاكرة: يتحقق من العمليات كل ثانية. يتعرف على إصدارات Cheat Engine المدعومة وأسر محررات الذاكرة الأخرى من خلال هوية العملية المستقرة. في Windows يتحقق أيضًا من حقول شركة PE والوصف بحيث لا تتجاوز إعادة تسمية الملف القابل للتنفيذ الكشف. لا يتم استخدام أي تجزئة ملف قابل للتنفيذ. يتم إنهاء محرر الذاكرة عالي الثقة. تنتج الأداة ذات الهوية غير المعروفة حدث Critical بدون إنفاذ إذا فتحت عميل HandyCafe أو تطبيق نشط يملكه المستخدم ولديه حقوق كتابة الذاكرة أو حقن الخيط.
اكتشاف مُنقّح الأخطاء / أدوات الهندسة العكسية (x64dbg وIDA وGhidra): يكتشف أدوات الهندسة العكسية.
اكتشاف حاقنات الشيفرة (Process Hacker وScylla): يكتشف حاقنات الشيفرة مثل Process Hacker وScylla وkdmapper.
اكتشاف العلامات التجارية لغش الألعاب (neverlose وaimware وغيرها): يطابق أسماء عمليات غش الألعاب التجارية المعروفة ويجري عمليات بحث DNS عن نطاقاتها.
فحص التعريفات المشبوهة: يكتشف إساءة استخدام التعريفات الهشّة. ملاحظة: يستخدم MSI Afterburner أيضًا تعريف RTCore64 مما قد يسبب نتائج إيجابية خاطئة.
مجس مكافحة التنقيح: يفحص واجهات وجود مُنقّح الأخطاء الشائعة ونقاط التوقف العتادية.
فحص سلامة الملف القابل للتنفيذ (SHA-256): يجزّئ الملف القابل للتنفيذ الخاص بالعميل في كل مسح لاكتشاف التعديل على القرص.
التحقق من التوقيع (WinVerifyTrust): يتحقق من توقيع Authenticode. أبقِ هذا معطلًا لإصدارات البيتا غير الموقّعة.
مراقبة استعلامات DNS (القائمة السوداء لنطاقات الغش): يحلل ذاكرة DNS المؤقتة بحثًا عن نطاقات موردي الغش المعروفة.
فحص عناوين النوافذ: يفحص عناوين النوافذ للإمساك بعمليات الغش التي تعيد تسمية ملفها الثنائي للتهرب من الاكتشاف القائم على الاسم.

محررات hex والموارد للأغراض العامة يتم الإبلاغ عنها بدون إنهاء تلقائي. يبقى مُنقّحات الأخطاء والحاقنات قيد الإبلاغ فقط. تبقى النتائج السلوكية غير المعروفة قيد الإبلاغ فقط لأن برامج مكافحة الفيروسات والإمكانية الوصول والمحللات وبرامج الدعم البعيد يمكنها طلب حقوق عملية Windows نفسها. يتم تجميع نتائج السلوك فقط إلى حدث واحد لكل عملية مصدر بدلاً من حدث واحد لكل تطبيق هدف. تبقى مرئية ومستمرة ولكن لا تقلل درجة صحة العميل ولا تؤدي إلى إنفاذ تلقائي. يتطلب الإنفاذ التلقائي هوية محرر ذاكرة عالي الثقة تم التحقق منها بشكل مستقل ولا تستهدف عملية العميل HandyCafe نفسها.

أداة مخصصة مجردة من الهوية خاملة لا تعرف ذاتها بنفسها ولا تفتح عميل HandyCafe أو تطبيق نشط يملكه المستخدم لا يمكن تمييزها بأمان عن البرامج العادية. لا يحقن HandyCafe الخطافات في الألعاب ولا يُفعّل حجب العمليات على مستوى النظام لأن هذه الآليات يمكنها تعطيل الالتقاط والإدارة البعيدة وأوامر تشغيل التطبيقات.

إنفاذ محرر الذاكرة لا يغير قائمة التحكم بالوصول (DACL) لعملية HandyCafe ولا يُفعّل سياسات تخفيف العمليات. لا يعدّل التقاط الشاشة والإدارة البعيدة والشبكات وسبل تشغيل الملفات والتطبيقات. إذا رفض Windows إذن بإنهاء عملية بامتيازات أعلى أو محمية يبقى الحدث Critical ورسالته تقرر action=termination_failed.

تستخدم تقارير التلاعب طابور خلفي محدود. يتم الانتظار للتقرير الإيصالات الشبكية خارج القفل المشترك للعميل بحيث لا يمكن للإبلاغ أن يوقف التقاط الشاشة والإدارة البعيدة وأوامر تشغيل التطبيقات. تحتفظ التقارير برقم طلب مستقر عبر محاولات إعادة الاتصال والخادم يقمع التسليم المكرر. تنهار النسخ المعلقة والجارية. تفاصيل الحدث لها حد حجم ثابت ونتائج الإنفاذ عالي الثقة تأخذ الأولوية على قياس الأداء الذي يقدّم تقارير فقط عند امتلاء الطابور.

فترات المجسات

يتحكم حقلا الحد الأدنى لفترة المسح (بالثواني) والحد الأقصى لفترة المسح (بالثواني) في مشغّل أبطأ للمشغّل وفحوصات الدقة والتوقيع و DNS وإدارة النوافذ. يختار العميل فترة عشوائية بين هاتين القيمتين لكل مسح بطيء. يستخدم فحص هوية Cheat Engine ومحرر الذاكرة فترته الخاصة بمدة ثانية واحدة بحيث لا تؤخر هذه الحقول الإنفاذ. يتحقق قياس سلوك مقبض Windows من عميل HandyCafe وما يصل إلى 64 تطبيقًا نشطًا يملكه المستخدم والمحقق منه مسار كل عشر ثوان. النطاق المسموح به من 30 إلى 3600 ثانية والحد الأدنى يجب أن يكون أقل من أو يساوي الحد الأقصى. إذا كانت القيم غير صالحة تعرض الصفحة الرسالة: يجب أن يكون الحد الأدنى للفترة أقل من أو يساوي الحد الأقصى. يتم حجب الحفظ حتى تصححها.