Безопасность и защита от читов

HandyCafe включает операторскую систему защиты от читов и безопасности клиента. Она состоит из двух частей: панели Безопасность, где вы отслеживаете обнаружения и управляете блокировками, и страницы настроек безопасности, где вы настраиваете, какие средства защиты работают на клиентских ПК. Используйте ее для усиления защиты клиентских процессов, обнаружения читерских инструментов и отладчиков, блокировки устройств по аппаратному отпечатку и проверки привязанных аккаунтов Steam на наличие банов VAC.

Панель безопасности

Панель Безопасность разделена на три вкладки: События вмешательства, Черный список HWID и Steam VAC. Нажмите на вкладку в верхней части панели для переключения между ними.

События вмешательства

Вкладка События вмешательства показывает историю обнаружений защиты от читов, о которых сообщили клиентские ПК. Каждая строка содержит Время, Компьютер (понятное имя с MAC-адресом под ним), категорию Событие, Серьезность и понятное Описание обнаруженного.

Используйте строку фильтров вверху для сужения списка. Можно выбрать дату (по умолчанию отображается сегодняшний день, а при изменении даты данные загружаются заново), выбрать категорию, выбрать серьезность (Критическая, Предупреждение или Информация) и ввести запрос в поле Поиск по компьютеру или MAC. Кнопка Обновить перезагружает события. Счетчик рядом с фильтрами показывает, сколько событий соответствует текущим фильтрам из общего числа загруженных.

Категории событий включают Сканирование процессов, Сканирование окон, Сканирование драйверов, Отладчик, Редактор памяти, Инжектор, Игровой чит, Целостность бинарного файла, Подпись кода, Наблюдение за DNS и Подмена времени. Если для выбранной даты обнаружений нет, панель показывает Нет событий вмешательства на эту дату.

Черный список HWID

Вкладка Черный список HWID перечисляет устройства, заблокированные по аппаратному отпечатку (хеш HWID). Таблица показывает Хеш HWID, Пример MAC, Причину, Примечание и Время. Счетчик вверху показывает, сколько блокировок существует.

Чтобы заблокировать устройство, нажмите Добавить блокировку HWID. В диалоге введите MAC (в формате AA:BB:CC:DD:EE:FF), обязательную Причину и необязательное Примечание, затем нажмите Добавить блокировку. Сервер сопоставляет MAC с отпечатком устройства и записывает блокировку. Используйте Отмена, чтобы закрыть диалог без сохранения.

Чтобы снять блокировку, используйте действие удаления в строке (Снять блокировку). Кнопка Обновить перезагружает список. Если блокировок нет, таблица показывает Нет блокировок HWID.

Steam VAC

Вкладка Steam VAC проверяет привязанные аккаунты Steam участников на наличие банов VAC через Steam Web API.

Введите свой ключ в поле Ключ Steam Web API и нажмите Сохранить. Подсказка гласит: требуется для проверок банов VAC. Получите его на steamcommunity.com/dev/apikey.

В разделе Проверка VAC кнопка Сканировать сейчас запускает ручную проверку. Проверка анализирует аккаунт Steam каждого привязанного участника на наличие банов VAC и выполняется автоматически ежедневно. Кнопка Сканировать сейчас недоступна, пока не сохранен ключ Steam Web API. Текст статуса показывает время Последней проверки или Проверка еще не выполнялась, если ни одна проверка не запускалась.

Конфигурация безопасности клиента

Страница настроек безопасности клиента управляет тем, какие средства защиты применяет каждый клиентский ПК. Она разделена на Усиление защиты процессов и Монитор вмешательства.

Используйте главный переключатель Включить защиту безопасности клиента, чтобы включить или выключить всю систему. Когда он выключен, клиент не применяет усиление защиты процессов и не запускает зонды монитора вмешательства. Баннер под переключателем отмечает, что бинарные файлы HandyCafe Client, Server и Watchdog всегда находятся в белом списке, и средства защиты никогда их не отметят. Подробные разделы появляются только при включенном главном переключателе.

Это подстраница параметров. Изменения фиксируются кнопкой Сохранить на уровне страницы, а не отдельной кнопкой внутри раздела. Сохранение завершается успешно после того, как каждый подключённый поддерживаемый клиент подтвердит, что новая конфигурация активна в памяти. Доставка повторяется автоматически. Ошибка доставки оставляет страницу параметров в несохранённом состоянии, чтобы вы могли повторить попытку. Отключённые клиенты получат сохранённую конфигурацию при повторном подключении.

Усиление защиты процессов

Усиление защиты процессов применяет политики самозащиты процесса при запуске клиента. Каждый переключатель имеет значок риска (НИЗКИЙ РИСК, СРЕДНИЙ РИСК или ВЫСОКИЙ РИСК) и подсказку с описанием его действия. Доступные параметры:

Защита памяти (DACL): заменяет DACL собственного процесса, чтобы токены без прав администратора теряли доступ на чтение, запись и к потокам. Блокирует стандартное подключение Cheat Engine.
DEP постоянно: сохраняет Data Execution Prevention постоянным, чтобы стек и куча оставались неисполняемыми.
Запретить динамический код (ВЫСОКИЙ РИСК): блокирует JIT и выделение исполняемой памяти. Может нарушить JIT-компиляцию шейдеров драйвера GPU на некоторых системах и привести к сбою захвата экрана и удаленного управления.
Политика подписи AppLocker/WDAC (СРЕДНИЙ РИСК): подключает процесс к вашим существующим правилам подписи бинарных файлов AppLocker или WDAC.
Фильтр загрузки DLL (СРЕДНИЙ РИСК): блокирует загрузку DLL из удаленных образов, отдает предпочтение System32 и блокирует образы с низким уровнем целостности. Может нарушить работу некоторых оверлеев производителей.
Блокировать AppInit_DLLs / IME: блокирует векторы инъекции AppInit_DLLs, IME и Winsock LSP.
Строгая проверка дескрипторов (ВЫСОКИЙ РИСК): вызывает ошибку при неправильном использовании дескриптора. Ошибка гигиены дескрипторов в любой сторонней библиотеке приведет к сбою процесса.
Linux: блокировать ptrace: предотвращает ptrace и подключение отладчика для пользователей без прав root в Linux.
macOS: запретить подключение отладчика: отклоняет любое последующее подключение отладчика в macOS.

Монитор вмешательства

Монитор вмешательства выполняет фоновые проверки на обнаружение читерских инструментов, отладчиков и инжекторов. Результаты обнаружения и принудительного исполнения отображаются на вкладке События вмешательства. Доступные проверки:

Обнаружение Cheat Engine / редактора памяти: проверяет запущённые процессы каждую секунду. Она распознаёт поддерживаемые версии Cheat Engine и другие семейства редакторов памяти по стабильному идентификатору процесса. В Windows она также проверяет поля компании и описания PE, поэтому переименование исполняемого файла не обходит обнаружение. Хеш исполняемого файла не используется. Редактор памяти с высокой вероятностью завершается. Инструмент без узнаваемого идентификатора создаёт критическое событие только для отчёта, если он открывает HandyCafe Client или наблюдаемое активное приложение пользователя с правами записи в память или внедрения потока.
Обнаружение отладчиков / RE-инструментов (x64dbg, IDA, Ghidra): обнаруживает инструменты обратной разработки.
Обнаружение инжекторов кода (Process Hacker, Scylla): обнаруживает инжекторы кода, такие как Process Hacker, Scylla и kdmapper.
Обнаружение брендов игровых читов (neverlose, aimware и др.): сопоставляет известные имена процессов коммерческих игровых читов и выполняет DNS-запросы их доменов.
Сканирование подозрительных драйверов: обнаруживает злоупотребление уязвимыми драйверами. Примечание: RTCore64 также используется MSI Afterburner, что может вызывать ложные срабатывания.
Зонд защиты от отладки: проверяет распространенные API определения присутствия отладчика и аппаратные точки останова.
Проверка целостности исполняемого файла (SHA-256): хеширует собственный исполняемый файл при каждой проверке для обнаружения исправлений на диске.
Проверка подписи (WinVerifyTrust): проверяет подпись Authenticode. Оставьте отключенным для неподписанных бета-сборок.
Мониторинг DNS-запросов (черный список читерских доменов): анализирует кэш DNS на наличие известных доменов поставщиков читов.
Сканирование заголовков окон: сканирует заголовки окон, чтобы выявить читерские процессы, которые переименовывают свой бинарный файл для обхода обнаружения по имени.

Универсальные шестнадцатеричные и редакторы ресурсов сообщаются без автоматического завершения. Отладчики и инжекторы остаются только для отчёта. Неизвестные выводы, основанные только на поведении, также остаются только для отчёта, потому что антивирусное программное обеспечение, функции доступности, профилировщики и программное обеспечение для удалённой поддержки могут запрашивать те же права процессов Windows. Выводы, основанные только на поведении, объединяются в одно событие для каждого исходного процесса вместо одного события для каждого целевого приложения. Они остаются видны и сохранены, но не снижают оценку здоровья клиента и не запускают автоматическое исполнение. Автоматическое завершение требует независимо переподтверждённого высокоточного идентификатора редактора памяти и никогда не нацелено на сам процесс HandyCafe Client.

Неактивный инструмент без идентификатора, который ни не идентифицирует себя, ни не открывает HandyCafe Client или наблюдаемое активное приложение пользователя, не может быть безопасно отличен от обычного программного обеспечения. HandyCafe не внедряет ловушки в игры и не позволяет блокировать процессы на уровне системы, потому что эти механизмы могут нарушить захват экрана, удалённое управление и запуск приложений.

Принудительное исполнение редактора памяти не изменяет DACL процесса HandyCafe и не включает политики смягчения процесса. Она не изменяет захват экрана, удалённое управление, сетевые возможности, пути запуска файлов и приложений. Если Windows отказывает в разрешении на завершение процесса с более высокими привилегиями или защищённого процесса, событие остаётся Критическое, и его описание сообщает action=termination_failed.

Отчёты о вмешательстве используют ограниченную фоновую очередь. Подтверждения сети ожидаются вне общей блокировки клиента, поэтому отчётность не может задержать захват экрана, удалённое управление или команды запуска приложений. Отчёты сохраняют стабильный идентификатор запроса при повторных попытках переподключения, и сервер подавляет дублирующиеся доставки. Ожидающие и активные дубликаты объединяются. Детали события имеют фиксированный размер, и результаты принудительного исполнения с высокой вероятностью имеют приоритет перед телеметрией только для отчёта, когда очередь заполнена.

Интервалы зондов

Поля Мин. интервал сканирования (секунды) и Макс. интервал сканирования (секунды) управляют более медленными проверками драйвера, отладчика, целостности, подписи, DNS и окна. Клиент выбирает случайный интервал между этими двумя значениями для каждой медленной проверки. Проверка идентификации Cheat Engine и редактора памяти использует собственный интервал в одну секунду, поэтому эти поля не задерживают принудительное исполнение. Телеметрия обработки Windows проверяет HandyCafe Client и до 64 проверенных по пути активных приложений пользователя каждые десять секунд. Допустимый диапазон составляет 30-3600 секунд, и минимум должен быть меньше или равен максимуму. Если значения недопустимы, страница показывает сообщение: минимальный интервал должен быть меньше или равен максимальному. Сохранение блокируется до их исправления.