HandyCafe Docs
owner it-admin

Securitate și anti-cheat

HandyCafe include un sistem anti-cheat pentru operatori și un sistem de securitate pentru client. Are două componente: panoul Securitate, unde monitorizați detecțiile și gestionați interdicțiile, și pagina de setări de securitate, unde configurați ce protecții rulează pe PC-urile client. Folosiți-l pentru a întări procesele client, a detecta instrumente de cheat și debugger, a interzice dispozitive după amprenta hardware și a verifica conturile Steam asociate pentru interdicții VAC.

Panoul de securitate

Panoul Securitate este organizat în trei file: Evenimente de manipulare, Listă neagră HWID și Steam VAC. Apăsați o filă din partea de sus a panoului pentru a comuta între ele.

Evenimente de manipulare

Fila Evenimente de manipulare afișează istoricul detecțiilor anti-cheat raportate de PC-urile client. Fiecare rând listează Ora, Calculatorul (numele prietenos, cu adresa MAC afișată dedesubt), categoria Eveniment, Severitatea și o Descriere în limbaj clar a ceea ce a fost detectat.

Folosiți rândul de filtre din partea de sus pentru a restrânge lista. Puteți alege o dată (vizualizarea afișează implicit ziua curentă și reîncarcă datele când o modificați), puteți alege o categorie, puteți alege o severitate (Critic, Avertisment sau Informativ) și puteți tasta în caseta Căutare după calculator sau MAC. Butonul Reîmprospătare reîncarcă evenimentele. Contorul de lângă filtre arată câte evenimente corespund filtrelor curente din totalul încărcat.

Categoriile de evenimente includ Scanare procese, Scanare ferestre, Scanare drivere, Debugger, Editor de memorie, Injector, Cheat de joc, Integritate binară, Semnătură de cod, Monitorizare DNS și Manipulare timp. Când nu există detecții pentru data selectată, panoul afișează Niciun eveniment de manipulare la această dată.

Listă neagră HWID

Fila Listă neagră HWID listează dispozitivele interzise după amprenta hardware (hash HWID). Tabelul afișează Hash-ul HWID, MAC mostră, Motivul, Nota și Ora. Contorul din partea de sus arată câte interdicții există.

Pentru a interzice un dispozitiv, apăsați Adaugă interdicție HWID. În dialog introduceți MAC-ul (în formatul AA:BB:CC:DD:EE:FF), un Motiv obligatoriu și o Notă opțională, apoi apăsați Adaugă interdicție. Serverul rezolvă adresa MAC în amprenta dispozitivului și înregistrează interdicția. Folosiți Anulare pentru a închide dialogul fără a salva.

Pentru a ridica o interdicție, folosiți acțiunea de eliminare de pe rând (Elimină interdicția). Butonul Reîmprospătare reîncarcă lista. Când nu există interdicții, tabelul afișează Nicio interdicție HWID.

Steam VAC

Fila Steam VAC verifică interdicțiile VAC pentru conturile Steam ale membrilor asociați, folosind Steam Web API.

Introduceți cheia în câmpul Cheie Steam Web API și apăsați Salvare. Indiciul precizează: Necesară pentru verificarea interdicțiilor VAC. Obțineți una de la steamcommunity.com/dev/apikey.

În secțiunea Scanare VAC, butonul Scanează acum rulează o scanare manuală. Scanarea verifică contul Steam al fiecărui membru asociat pentru interdicții VAC și rulează automat zilnic. Butonul Scanează acum este dezactivat până când este salvată o cheie Steam Web API. Textul de stare afișează ora ultimei scanări (Ultima scanare) sau Nicio scanare încă dacă nu a rulat nicio scanare.

Configurarea securității clientului

Pagina de setări de securitate a clientului controlează ce protecții aplică fiecare PC client. Este împărțită în Întărirea proceselor și Monitor de manipulare.

Folosiți comutatorul principal Activează protecția de securitate a clientului pentru a porni sau opri întregul sistem. Când este dezactivat, clientul nu aplică nicio întărire a proceselor și nu rulează nicio sondă a monitorului de manipulare. Un banner de sub comutator menționează că binarele HandyCafe Client, Server și Watchdog sunt întotdeauna pe lista albă, iar protecțiile nu le vor semnala niciodată. Secțiunile detaliate apar doar când comutatorul principal este activat.

Aceasta este o sub-pagină de setări. Modificările sunt confirmate cu butonul Salvare de la nivelul paginii, nu cu un buton separat din interiorul secțiunii. Salvarea reușește după ce fiecare client conectat suportat recunoaște că noua configurare este activă în memorie. Livrarea se reîncearcă automat. Eșecul de livrare menține pagina de setări cu modificări neconfirmate, deci puteți reîncerca. Clienții deconectați primesc configurarea salvată când se reconectează.

Întărirea proceselor

Întărirea proceselor aplică politici de auto-întărire a proceselor la pornirea clientului. Fiecare comutator are o etichetă de risc (RISC SCĂZUT, RISC MEDIU sau RISC RIDICAT) și un tooltip care descrie ce face. Opțiuni disponibile:

  • Protecția memoriei (DACL): Înlocuiește DACL-ul propriului proces astfel încât tokenurile non-admin să piardă accesul de citire, scriere și la fire de execuție. Blochează atașarea standard a Cheat Engine.
  • DEP permanent: Menține permanentă prevenirea execuției datelor (Data Execution Prevention) astfel încât stiva și heap-ul să rămână ne-executabile.
  • Interzice codul dinamic (RISC RIDICAT): Blochează JIT și alocările executabile. Poate deteriora JIT-ul shaderelor driverului GPU pe unele sisteme și poate face să eșueze captura ecranului și controlul la distanță.
  • Politică de semnătură AppLocker/WDAC (RISC MEDIU): Înscrie procesul în regulile existente de semnătură a binarelor AppLocker sau WDAC.
  • Filtru de încărcare DLL (RISC MEDIU): Blochează încărcarea DLL-urilor din imagini la distanță, preferă System32 și blochează imaginile cu integritate scăzută. Poate deteriora unele overlay-uri de la furnizori.
  • Blochează AppInit_DLLs / IME: Blochează vectorii de injectare AppInit_DLLs, IME și Winsock LSP.
  • Verificare strictă a handle-urilor (RISC RIDICAT): Generează o eroare la utilizarea unui handle invalid. Un defect de igienă a handle-urilor în orice bibliotecă terță va bloca procesul.
  • Linux: blochează ptrace: Împiedică atașarea ptrace și a debuggerului pentru utilizatorii non-root pe Linux.
  • macOS: refuză atașarea debuggerului: Refuză orice atașare ulterioară a unui debugger pe macOS.

Monitor de manipulare

Monitorul de manipulare rulează sonde de fundal pentru instrumente de cheat, debuggere și injectoare. Detecțiile și rezultatele acțiunilor de protecție apar în fila Evenimente de manipulare. Sonde disponibile:

  • Detectare Cheat Engine / editor de memorie: Verifică procesele în execuție la fiecare secundă. Recunoaște versiuni acceptate de Cheat Engine și alte familii de editoare de memorie după identitate stabilă de proces. Pe Windows verifică de asemenea câmpurile de companie și descriere PE, deci redenumirea executabilului nu ocolește detecția. Nu este folosit niciun hash de executabil. Un editor de memorie cu încredere ridicată este terminat. Un instrument fără identitate recognoscibilă produce un eveniment Critic doar pentru raport dacă deschide HandyCafe Client-ul sau o aplicație activă deținută de utilizator cu drepturi de scriere în memorie sau de injectare de fire.
  • Detectare debugger / instrumente RE (x64dbg, IDA, Ghidra): Detectează instrumentele de reverse engineering.
  • Detectare injectoare de cod (Process Hacker, Scylla): Detectează injectoare de cod precum Process Hacker, Scylla și kdmapper.
  • Detectare branduri de cheat de joc (neverlose, aimware etc.): Identifică nume cunoscute de procese de cheat de joc comerciale și efectuează căutări DNS pentru domeniile lor.
  • Scanare drivere suspecte: Detectează abuzul driverelor vulnerabile. Notă: RTCore64 este folosit și de MSI Afterburner, ceea ce poate genera detecții false.
  • Sondă anti-debug: Verifică API-urile comune de prezență a debuggerului și breakpoint-urile hardware.
  • Verificare integritate executabil (SHA-256): Calculează hash-ul propriului executabil la fiecare scanare pentru a detecta modificările pe disc.
  • Verificarea semnăturii (WinVerifyTrust): Verifică semnătura Authenticode. Mențineți această opțiune dezactivată pentru versiunile beta nesemnate.
  • Monitorizarea interogărilor DNS (listă neagră de domenii de cheat): Analizează cache-ul DNS după domenii cunoscute ale furnizorilor de cheat.
  • Scanare titluri de ferestre: Scanează titlurile ferestrelor pentru a prinde procesele de cheat care își redenumesc binarul pentru a evita detecția pe bază de nume.

Editorii hexazecimali și de resurse cu scop general sunt raportați fără terminare automată. Debuggerele și injectoarele rămân doar pentru raport. Constatările comportamentale necunoscute rămân de asemenea doar pentru raport, deoarece software-ul antivirus, accesibilitate, profiler și suport la distanță pot solicita aceleași drepturi de proces Windows. Constatările comportamentale sunt grupate într-un eveniment per proces sursă în loc de un eveniment per aplicație țintă. Rămân vizibile și persistente, dar nu reduc scorul de sănătate al clientului și nu declanșează aplicarea automată a măsurilor. Terminarea automată necesită o identitate de editor de memorie cu încredere ridicată revalidată independent și nu vizează niciodată procesul HandyCafe Client în sine.

Un instrument custom inactiv și lipsit de identitate care nici nu se identifică și nici nu deschide HandyCafe Client-ul sau o aplicație activă deținută de utilizator nu poate fi distins în siguranță de software-ul obișnuit. HandyCafe nu injectează hook-uri în jocuri și nu activează blocarea proceselor la nivelul sistemului, deoarece acele mecanisme pot perturba captura, gestionarea la distanță și aplicațiile lansate.

Aplicarea măsurilor pentru editoare de memorie nu schimbă DACL-ul procesului HandyCafe și nu activează politici de atenuare a proceselor. Nu modifică captura ecranului, gestionarea la distanță, rețeaua sau căile de lansare a fișierelor și aplicațiilor. Dacă Windows refuză permisiunea de terminare a unui proces cu privilegii mai mari sau protejat, evenimentul rămâne Critic și descrierea acestuia raportează action=termination_failed.

Rapoartele de manipulare utilizează o coadă de fundal limitată. Confirmările de rețea sunt așteptate în afara blocajului Client partajat, deci raportarea nu poate suspenda captura ecranului, gestionarea la distanță sau comenzile de lansare a aplicațiilor. Rapoartele păstrează un ID de cerere stabil pe reîncercări de reconectare și serverul suprimă livrarea duplicatelor. Duplicatele în așteptare și în curs de transmisie sunt combinate. Detaliile evenimentului au o limită de dimensiune fixă și rezultatele aplicării măsurilor de încredere ridicată au prioritate asupra telemetriei doar pentru raport când coada este plină.

Intervalele sondelor

Câmpurile Interval minim de scanare (secunde) și Interval maxim de scanare (secunde) controlează sondele mai lente de driver, debugger, integritate, semnătură, DNS și fereastră. Clientul alege un interval aleatoriu între aceste două valori pentru fiecare scanare mai lentă. Verificarea identității Cheat Engine și editorului de memorie utilizează propriul interval de o secundă, deci aceste câmpuri nu întârzie aplicarea măsurilor. Telemetria comportamentului handle-ului Windows verifică HandyCafe Client-ul și până la 64 de aplicații active deținute de utilizator validate după cale la fiecare zece secunde. Intervalul permis este de la 30 la 3600 de secunde și minimul trebuie să fie mai mic sau egal cu maximul. Dacă valorile sunt invalide, pagina afișează mesajul: Intervalul minim trebuie să fie mai mic sau egal cu cel maxim. Salvarea este blocată până când le corectați.