HandyCafe Docs
owner it-admin

Sicurezza e Anti-Cheat

HandyCafe include un sistema anti-cheat per l'operatore e un sistema di sicurezza per i client. È composto da due parti: il pannello Sicurezza dove monitori le rilevazioni e gestisci i ban, e la pagina delle impostazioni di sicurezza dove configuri quali protezioni vengono eseguite sui PC client. Usalo per rafforzare i processi dei client, rilevare strumenti di cheat e debugger, bannare dispositivi tramite impronta hardware e verificare gli account Steam collegati per individuare i ban VAC.

Pannello Sicurezza

Il pannello Sicurezza è organizzato in tre schede: Eventi di Manomissione, Lista Nera HWID e Steam VAC. Clicca una scheda nella parte superiore del pannello per passare da una all'altra.

Eventi di Manomissione

La scheda Eventi di Manomissione mostra lo storico delle rilevazioni anti-cheat segnalate dai PC client. Ogni riga elenca l'Ora, il Computer (nome descrittivo con l'indirizzo MAC mostrato sotto), la categoria dell'Evento, la Gravità e una Descrizione in linguaggio chiaro di ciò che è stato rilevato.

Usa la riga dei filtri in alto per restringere l'elenco. Puoi scegliere una data (la vista è impostata sulla giornata odierna in modo predefinito e ricarica i dati quando la cambi), selezionare una categoria, scegliere una gravità (Critico, Avviso o Info) e digitare nel campo Cerca per computer o MAC. Il pulsante Aggiorna ricarica gli eventi. Il contatore accanto ai filtri mostra quanti eventi corrispondono ai filtri attuali sul totale caricato.

Le categorie di evento includono Scansione processi, Scansione finestre, Scansione driver, Debugger, Editor di memoria, Injector, Cheat di gioco, Integrità binaria, Firma del codice, Monitoraggio DNS e Manomissione dell'ora. Quando non ci sono rilevazioni per la data selezionata, il pannello mostra Nessun evento di manomissione in questa data.

Lista Nera HWID

La scheda Lista Nera HWID elenca i dispositivi bannati tramite impronta hardware (hash HWID). La tabella mostra l'hash HWID, il MAC di esempio, il Motivo, la Nota e l'Ora. Il contatore in alto mostra quanti ban esistono.

Per bannare un dispositivo, clicca Aggiungi Ban HWID. Nella finestra inserisci il MAC (formattato come AA:BB:CC:DD:EE:FF), un Motivo obbligatorio e una Nota facoltativa, poi clicca Aggiungi ban. Il server risolve il MAC nell'impronta del dispositivo e registra il ban. Usa Annulla per chiudere la finestra senza salvare.

Per revocare un ban, usa l'azione di rimozione sulla riga (Rimuovi ban). Il pulsante Aggiorna ricarica l'elenco. Quando non ci sono ban, la tabella mostra Nessun ban HWID.

Steam VAC

La scheda Steam VAC verifica gli account Steam dei membri collegati per individuare i ban VAC utilizzando la Steam Web API.

Inserisci la tua chiave nel campo Chiave Steam Web API e clicca Salva. Il suggerimento recita: necessaria per le ricerche di ban VAC. Ottienine una da steamcommunity.com/dev/apikey.

In Scansione VAC, il pulsante Scansiona ora esegue una scansione manuale. La scansione verifica l'account Steam di ogni membro collegato per individuare i ban VAC e viene eseguita automaticamente ogni giorno. Il pulsante Scansiona ora è disabilitato finché non viene salvata una chiave Steam Web API. Il testo di stato mostra l'ora dell'Ultima scansione, oppure Nessuna scansione finora se non è stata eseguita alcuna scansione.

Configurazione della Sicurezza Client

La pagina delle impostazioni di sicurezza del client controlla quali protezioni applica ogni PC client. È suddivisa in Rafforzamento dei Processi e Monitor di Manomissione.

Usa l'interruttore principale Abilita la protezione di sicurezza del client per attivare o disattivare l'intero sistema. Quando è disabilitato, il client non applica alcun rafforzamento dei processi e non esegue alcuna sonda del monitor di manomissione. Un banner sotto l'interruttore segnala che i binari di HandyCafe Client, Server e Watchdog sono sempre nella whitelist e le protezioni non li segnaleranno mai. Le sezioni dettagliate appaiono solo quando l'interruttore principale è attivo.

Questa è una sotto-pagina delle impostazioni. Le modifiche vengono salvate con il pulsante Salva a livello di pagina, non con un pulsante separato all'interno della sezione. Il salvataggio ha successo dopo che ogni client supportato connesso riconosce che la nuova configurazione è attiva in memoria. La consegna viene ritentata automaticamente. Un errore di consegna mantiene la pagina delle impostazioni sporca in modo da poter riprovare. I client disconnessi ricevono la configurazione salvata quando si riconnettono.

Rafforzamento dei Processi

Il Rafforzamento dei Processi applica le politiche di auto-rafforzamento del processo all'avvio del client. Ogni interruttore riporta un badge di rischio (RISCHIO BASSO, RISCHIO MEDIO o RISCHIO ALTO) e un suggerimento che descrive cosa fa. Opzioni disponibili:

  • Protezione della memoria (DACL): sostituisce la DACL del proprio processo in modo che i token non amministrativi perdano l'accesso in lettura, scrittura e ai thread. Blocca l'aggancio standard di Cheat Engine.
  • DEP permanente: mantiene permanente la Data Execution Prevention in modo che stack e heap restino non eseguibili.
  • Vieta codice dinamico (RISCHIO ALTO): blocca il JIT e le allocazioni eseguibili. Su alcuni sistemi può compromettere il JIT degli shader del driver GPU e far fallire la cattura dello schermo e il controllo remoto.
  • Politica firma AppLocker/WDAC (RISCHIO MEDIO): assoggetta il processo alle regole di firma dei binari AppLocker o WDAC già esistenti.
  • Filtro caricamento DLL (RISCHIO MEDIO): blocca il caricamento di DLL da immagini remote, preferisce System32 e blocca le immagini a bassa integrità. Può compromettere alcuni overlay di fornitori.
  • Blocca AppInit_DLLs / IME: blocca i vettori di injection AppInit_DLLs, IME e Winsock LSP.
  • Controllo handle rigoroso (RISCHIO ALTO): genera un errore in caso di uso scorretto di un handle. Un bug nella gestione degli handle in qualsiasi libreria di terze parti farà crashare il processo.
  • Linux: blocca ptrace: impedisce ptrace e l'aggancio del debugger agli utenti non root su Linux.
  • macOS: nega l'aggancio del debugger: rifiuta qualsiasi successivo aggancio del debugger su macOS.

Monitor di Manomissione

Il Monitor di Manomissione esegue sonde in background per strumenti di cheat, debugger e injector. Le rilevazioni e i risultati dell'applicazione della legge appaiono nella scheda Eventi di Manomissione. Sonde disponibili:

  • Rilevamento Cheat Engine / editor di memoria: Controlla i processi in esecuzione ogni secondo. Riconosce le versioni supportate di Cheat Engine e altre famiglie di editor di memoria tramite identità stabile del processo. Su Windows controlla anche i campi dell'azienda PE e della descrizione in modo che rinominare l'eseguibile non aggiri il rilevamento. Nessun hash eseguibile viene utilizzato. Un editor di memoria con alta confidenza viene terminato. Uno strumento senza identità riconoscibile produce un evento solo report di Critica se apre il Client HandyCafe o un'applicazione di proprietà dell'utente attiva osservata con diritti di scrittura di memoria o iniezione di thread.
  • Rilevamento debugger / strumenti RE (x64dbg, IDA, Ghidra): rileva gli strumenti di reverse engineering.
  • Rilevamento injector di codice (Process Hacker, Scylla): rileva gli injector di codice come Process Hacker, Scylla e kdmapper.
  • Rilevamento marchi di cheat di gioco (neverlose, aimware, ecc.): confronta i nomi dei processi di cheat di gioco commerciali noti ed esegue ricerche DNS per i loro domini.
  • Scansione driver sospetti: rileva l'abuso di driver vulnerabili. Nota: RTCore64 è usato anche da MSI Afterburner, il che può causare falsi positivi.
  • Sonda anti-debug: verifica le comuni API di rilevamento della presenza di un debugger e i breakpoint hardware.
  • Controllo integrità dell'eseguibile (SHA-256): calcola l'hash del proprio eseguibile a ogni scansione per rilevare modifiche su disco.
  • Verifica della firma (WinVerifyTrust): verifica la firma Authenticode. Mantieni questa opzione disabilitata per le build beta non firmate.
  • Monitoraggio delle query DNS (lista nera dei domini di cheat): analizza la cache DNS alla ricerca di domini noti di fornitori di cheat.
  • Scansione del titolo delle finestre: scansiona i titoli delle finestre per individuare i processi di cheat che rinominano il proprio binario per eludere il rilevamento basato sul nome.

Gli editor hex e risorse per uso generale vengono segnalati senza terminazione automatica. Debugger e injector rimangono solo report. I risultati comportamentali sconosciuti rimangono anche solo report perché il software antivirus, di accessibilità, profiler e supporto remoto può richiedere gli stessi diritti del processo Windows. I risultati comportamentali vengono raggruppati in un evento per processo di origine anziché in un evento per applicazione di destinazione. Rimangono visibili e persistenti ma non riducono il punteggio di integrità del client o attivano l'applicazione automatica. La terminazione automatica richiede un'identità di editor di memoria ad alta confidenza validata in modo indipendente e non prende mai di mira il processo HandyCafe Client stesso.

Uno strumento personalizzato inattivo privato dell'identità che non si identifica né apre il Client HandyCafe né un'applicazione di proprietà dell'utente attiva osservata non può essere distinto con sicurezza dal software ordinario. HandyCafe non inietta hook nei giochi né abilita il blocco dei processi a livello di sistema perché questi meccanismi possono interrompere l'acquisizione, la gestione remota e le applicazioni avviate.

L'applicazione dell'editor di memoria non modifica il DACL del processo HandyCafe né abilita i criteri di mitigazione dei processi. Non modifica l'acquisizione dello schermo, la gestione remota, la rete o i percorsi di avvio dei file e delle applicazioni. Se Windows nega l'autorizzazione a terminare un processo con privilegio superiore o protetto, l'evento rimane Critical e la sua descrizione segnala action=termination_failed.

I rapporti di manomissione utilizzano una coda in background limitata. Gli riconoscimenti di rete vengono attesi al di fuori del blocco Client condiviso, quindi la segnalazione non può bloccare l'acquisizione dello schermo, la gestione remota o i comandi di avvio dell'applicazione. I rapporti mantengono un ID di richiesta stabile tra i tentativi di riconnessione e il server sopprime la consegna duplicata. I duplicati in sospeso e in movimento vengono compressi. I dettagli dell'evento hanno un limite di dimensione fisso e i risultati dell'applicazione ad alta confidenza hanno la priorità sulla telemetria solo report quando la coda è piena.

Intervalli delle Sonde

I campi Intervallo minimo di scansione (secondi) e Intervallo massimo di scansione (secondi) controllano le sonde driver più lente, debugger, integrità, firma, DNS e finestra. Il client sceglie un intervallo casuale tra questi due valori per ogni scansione lenta. Il controllo dell'identità di Cheat Engine e dell'editor di memoria utilizza il proprio intervallo di un secondo, quindi questi campi non ritardano l'applicazione. La telemetria del comportamento dell'handle di Windows controlla il Client HandyCafe e fino a 64 applicazioni di proprietà dell'utente attive convalidate per percorso ogni dieci secondi. L'intervallo consentito è da 30 a 3600 secondi e il minimo deve essere minore o uguale al massimo. Se i valori non sono validi, la pagina mostra il messaggio: l'intervallo minimo deve essere minore o uguale al massimo. Il salvataggio è bloccato finché non li correggi.