HandyCafe Docs
owner it-admin

Segurança e Anticheat

O HandyCafe inclui um sistema de anticheat para o operador e de segurança do cliente. Ele tem duas partes: o painel Segurança, onde você monitora as detecções e gerencia banimentos, e a página de configurações de segurança, onde você define quais proteções rodam nos PCs clientes. Use o sistema para reforçar os processos do cliente, detectar ferramentas de cheat e depuradores, banir dispositivos pela impressão digital de hardware e verificar banimentos VAC nas contas Steam vinculadas.

Painel de Segurança

O painel Segurança está organizado em três abas: Eventos de Adulteração, Lista de Bloqueio HWID e Steam VAC. Clique em uma aba no topo do painel para alternar entre elas.

Eventos de Adulteração

A aba Eventos de Adulteração mostra um histórico das detecções de anticheat reportadas pelos PCs clientes. Cada linha lista a Hora, o Computador (nome amigável com o endereço MAC mostrado abaixo), a categoria do Evento, a Severidade e uma Descrição em linguagem simples do que foi detectado.

Use a linha de filtros no topo para reduzir a lista. Você pode escolher uma data (a visualização começa no dia atual e busca os dados novamente quando você a altera), escolher uma categoria, escolher uma severidade (Crítico, Aviso ou Info) e digitar na caixa Buscar por computador ou MAC. O botão Atualizar recarrega os eventos. O contador ao lado dos filtros mostra quantos eventos correspondem aos filtros atuais em relação ao total carregado.

As categorias de evento incluem Varredura de processos, Varredura de janelas, Varredura de drivers, Depurador, Editor de memória, Injetor, Cheat de jogo, Integridade de binário, Assinatura de código, Monitoramento de DNS e Adulteração de horário. Quando não há detecções para a data selecionada, o painel mostra Nenhum evento de adulteração nesta data.

Lista de Bloqueio HWID

A aba Lista de Bloqueio HWID lista os dispositivos banidos pela impressão digital de hardware (hash HWID). A tabela mostra o hash HWID, o MAC de amostra, o Motivo, a Nota e a Hora. O contador no topo mostra quantos banimentos existem.

Para banir um dispositivo, clique em Adicionar banimento HWID. Na caixa de diálogo, informe o MAC (formatado como AA:BB:CC:DD:EE:FF), um Motivo obrigatório e uma Nota opcional, depois clique em Adicionar banimento. O servidor resolve o MAC para a impressão digital do dispositivo e registra o banimento. Use Cancelar para fechar a caixa de diálogo sem salvar.

Para suspender um banimento, use a ação de remoção na linha (Remover banimento). O botão Atualizar recarrega a lista. Quando não há banimentos, a tabela mostra Nenhum banimento HWID.

Steam VAC

A aba Steam VAC verifica banimentos VAC nas contas Steam dos membros vinculados, usando a Steam Web API.

Informe sua chave no campo Chave da Steam Web API e clique em Salvar. A dica diz: Necessária para consultas de banimento VAC. Obtenha uma em steamcommunity.com/dev/apikey.

Em Varredura VAC, o botão Verificar agora executa uma varredura manual. A varredura verifica a conta Steam de cada membro vinculado em busca de banimentos VAC e roda automaticamente todos os dias. O botão Verificar agora fica desabilitado até que uma chave da Steam Web API seja salva. O texto de status mostra a hora da Última varredura ou Nunca verificado caso nenhuma varredura tenha sido executada.

Configuração de Segurança do Cliente

A página de configurações de segurança do cliente controla quais proteções cada PC cliente aplica. Ela está dividida em Reforço de Processos e Monitor de Adulteração.

Use o interruptor mestre Ativar proteção de segurança do cliente para ligar ou desligar todo o sistema. Quando ele está desativado, o cliente não aplica nenhum reforço de processo e não executa nenhuma sondagem do monitor de adulteração. Um aviso abaixo do interruptor lembra que os binários do HandyCafe Client, Server e Watchdog estão sempre na lista de permissões e as proteções nunca vão sinalizá-los. As seções detalhadas só aparecem quando o interruptor mestre está ligado.

Isto é uma subpágina de configurações. As alterações são confirmadas com o botão Salvar no nível da página, não com um botão separado dentro da seção. Salvar é bem-sucedido depois que cada cliente compatível conectado confirma que a nova configuração está ativa na memória. A entrega é retentada automaticamente. Uma falha de entrega mantém a página de configurações suja para que você possa tentar novamente. Os clientes desconectados recebem a configuração salva quando se reconectarem.

Reforço de Processos

O Reforço de Processos aplica políticas de auto-reforço de processo na inicialização do cliente. Cada interruptor traz um selo de risco (RISCO BAIXO, RISCO MÉDIO ou RISCO ALTO) e uma dica que descreve o que ele faz. Opções disponíveis:

  • Proteção de memória (DACL): substitui a DACL do próprio processo para que tokens sem privilégios de administrador percam acesso de leitura, escrita e thread. Bloqueia a conexão padrão do Cheat Engine.
  • DEP permanente: mantém a Prevenção de Execução de Dados permanente para que a pilha e o heap continuem não executáveis.
  • Proibir código dinâmico (RISCO ALTO): bloqueia JIT e alocações executáveis. Pode quebrar o JIT de shaders do driver de GPU em alguns sistemas e fazer a captura de tela e o controle remoto falharem.
  • Política de assinatura AppLocker/WDAC (RISCO MÉDIO): inscreve o processo nas suas regras de assinatura de binários AppLocker ou WDAC já existentes.
  • Filtro de carregamento de DLL (RISCO MÉDIO): bloqueia o carregamento de DLLs de imagens remotas, prioriza a System32 e bloqueia imagens de baixa integridade. Pode quebrar alguns overlays de fabricantes.
  • Bloquear AppInit_DLLs / IME: bloqueia os vetores de injeção AppInit_DLLs, IME e Winsock LSP.
  • Verificação estrita de handle (RISCO ALTO): gera um erro ao usar um handle inválido. Um bug de higiene de handle em qualquer biblioteca de terceiros vai travar o processo.
  • Linux: bloquear ptrace: impede o ptrace e a conexão de depurador para usuários sem privilégios de root no Linux.
  • macOS: negar conexão de depurador: recusa qualquer conexão de depurador posterior no macOS.

Monitor de Adulteração

Monitor de Adulteração executa sondagens em segundo plano para ferramentas de cheat, depuradores e injetores. As detecções e resultados de execução aparecem na aba Eventos de Adulteração. Sondagens disponíveis:

  • Detecção de Cheat Engine / editor de memória: verifica processos em execução a cada segundo. Reconhece versões suportadas de Cheat Engine e outras famílias de editor de memória pela identidade de processo estável. No Windows, também verifica os campos de empresa e descrição do PE para que a renomeação do executável não contorne a detecção. Nenhum hash de executável é usado. Um editor de memória com alta confiança é encerrado. Uma ferramenta sem identidade reconhecível produz um evento apenas relatório de nível Crítico se abrir o HandyCafe Client ou um aplicativo ativo de propriedade do usuário observado com direitos de escrita em memória ou injeção de thread.
  • Detecção de depurador / ferramenta de RE (x64dbg, IDA, Ghidra): detecta ferramentas de engenharia reversa.
  • Detecção de injetor de código (Process Hacker, Scylla): detecta injetores de código como Process Hacker, Scylla e kdmapper.
  • Detecção de marcas de cheat de jogo (neverlose, aimware, etc.): corresponde nomes de processos de cheats comerciais conhecidos e faz consultas de DNS para os domínios deles.
  • Varredura de drivers suspeitos: detecta o abuso de drivers vulneráveis. Observação: o RTCore64 também é usado pelo MSI Afterburner, o que pode gerar falsos positivos.
  • Sondagem antidepuração: verifica APIs comuns de presença de depurador e breakpoints de hardware.
  • Verificação de integridade do executável (SHA-256): calcula o hash do próprio executável a cada varredura para detectar adulteração em disco.
  • Verificação de assinatura (WinVerifyTrust): verifica a assinatura Authenticode. Mantenha isto desativado para builds beta sem assinatura.
  • Monitoramento de consultas DNS (lista de bloqueio de domínios de cheat): analisa o cache de DNS em busca de domínios de fornecedores de cheat conhecidos.
  • Varredura de título de janela: examina os títulos das janelas para capturar processos de cheat que renomeiam o próprio binário para escapar da detecção baseada em nome.

Editores de recursos e hex de propósito geral são relatados sem encerramento automático. Depuradores e injetores permanecem apenas relatório. Descobertas desconhecidas apenas de comportamento também permanecem apenas relatório porque antivírus, acessibilidade, profiler e software de suporte remoto podem solicitar os mesmos direitos de processo Windows. As descobertas apenas de comportamento são agrupadas em um evento por processo de origem em vez de um evento por aplicativo alvo. Permanecem visíveis e persistidas, mas não reduzem a pontuação de saúde do cliente ou desencadeiam execução automática. A execução automática requer uma identidade de editor de memória de alta confiança revalidada independentemente e nunca tem como alvo o próprio processo do HandyCafe Client.

Uma ferramenta personalizada desconectada e com identidade removida que nem se identifica nem abre o HandyCafe Client ou um aplicativo ativo de propriedade do usuário observado não pode ser distinguida com segurança do software comum. HandyCafe não injeta hooks em jogos nem ativa bloqueio de processo em todo o sistema porque esses mecanismos podem prejudicar a captura, gerenciamento remoto e comandos de aplicativos lançados.

A execução de editor de memória não altera o DACL do processo HandyCafe nem ativa as políticas de mitigação de processo. Não modifica a captura de tela, gerenciamento remoto, rede ou caminhos de arquivo e lançamento de aplicativos. Se Windows negar permissão para encerrar um processo protegido ou de privilégio mais elevado, o evento permanece Crítico e sua descrição relata action=termination_failed.

Os relatórios de adulteração usam uma fila em segundo plano limitada. Os reconhecimentos de rede são aguardados fora do lock compartilhado do Client para que os relatórios não possam segurar a captura de tela, gerenciamento remoto ou comandos de lançamento de aplicativos. Os relatórios mantêm um ID de solicitação estável através de tentativas de reconexão de retry e o servidor suprime a entrega duplicada. Os duplicados pendentes e em trânsito são recolhidos. Os detalhes do evento têm um limite de tamanho fixo e os resultados de execução de alta confiança têm prioridade sobre telemetria apenas relatório quando a fila está cheia.

Intervalos de Sondagem

O Intervalo mínimo de varredura (segundos) e Intervalo máximo de varredura (segundos) controlam o driver mais lento, depurador, integridade, assinatura, DNS e sondagens de janela. O cliente escolhe um intervalo aleatório entre esses dois valores para cada varredura lenta. A verificação de identidade do Cheat Engine e editor de memória usa seu próprio intervalo de um segundo para que esses campos não atrasem a execução. A telemetria de comportamento de identificador Windows verifica o HandyCafe Client e até 64 aplicativos ativos validados por caminho de propriedade do usuário a cada dez segundos. O intervalo permitido é de 30 a 3600 segundos e o mínimo deve ser menor ou igual ao máximo. Se os valores forem inválidos, a página mostra a mensagem: O intervalo mínimo deve ser menor ou igual ao máximo. Salvar é bloqueado até que você os corrija.