뱅가드 안티치트에 대해 알아보자

이 씹 좆같은련은 커널 레벨에서 돌아가는 전형적인 커널 안티치트


vgk.sys 라는 드라이버를 쓰는데

이 드라이버는 SSDT 후킹을 통 해 VA의 속성 변환 섹션 객체등을 통해 자기 메모리를 유저 레벨에서 허용하지 않게끔 한다

보통 KPP에 (일명 커널 패치가드) 의해 SSDT 후킹은 사실상 사장된 기술인데 이 새끼들이 어찌 쓰는지 의문이긴하다 ㅇㅇ

또는 디스크 분석을 방지 하기 위해 PE에 있는 IAT를 그대로 신뢰하지않고 따로 런타임에 각 함수의 주소가 XOR로 인코딩된 테이블을 만든 뒤

거기에서 별도로 부가적인 역연산을 통해 동적으로 주소를 얻고 콜을 한다

그리고 텔레메트리를 방지하기 위해 허용된 쓰레드가 아니라면 CR3 즉 컨트롤 레지스터를 꼬아서 

페이지 디렉토리를 얻어 물리메모리에 접근 하는 걸 방지하게 설계되어있다 . (허용된 쓰레드는 별도로 CR3 주소를 기억하는 공간이 있음)

뭐 또 HVCI , 보안 부팅등 검사하는거 존나 많은데 귀찮아서 여기까지 적겠다