Вопрос EAC — Детект Driver Signature Enforcement через EfiGuard

[hex_cat]

Народ, кто сейчас ковыряет EAC, подскажите по сабжу. Пару недель назад заметил, что античит начал активно чекать состояние Driver Signature Enforcement (DSE).

Ситуация такая: юзаю буткит EfiGuard для отключения этой проверки, но античит всё равно умудряется детектить состояние DSE. Не могу догнать, как именно они это вытаскивают. Есть у кого мысли, как EAC определяет, что DSE принудительно отключен, если хуки буткита вроде как должны скрывать правки в системе?

Что по технической части:

1. Использую EfiGuard для модификации g_CiEnabled или аналогичного поведения.
2. Смотрю в сторону проверки целостности ядра или специфических вызовов через системные потоки.
3. Есть подозрение, что они смотрят не только реестр или флаги, но и лезут в Kernel-mode через специфические запросы.

Кто уже сталкивался с таким поведением после апдейтов античита? Есть ли смысл копать в сторону патчинга CI в рантайме или они начали проверять это через кастомный Kernel-драйвер, который обходит EfiGuard? Братва, делитесь опытом, кто допиливал — кидайте свои правки.

 

[metafaze]

брат вот видно ты в теме конкретно подкован то что ты с новосибирска это ахуенно я бы с тобой встретился

В лс пишут что это два брата. Типо один за нас, а другой не за нас.
Если это не рофл, то хуёво конечно что так. Надеюсь тот кто за нас перетянет своего брата на нашу сторону.

 

[hex_cat]

брат вот видно ты в теме конкретно подкован то что ты с новосибирска это ахуенно я бы с тобой встретился

В лс пишут что это два брата. Типо один за нас, а другой не за нас.
Если это не рофл, то хуёво конечно что так. Надеюсь тот кто за нас перетянет своего брата на нашу сторону.

ничего не понял бро
в Новосибе да с радостью залетел бы с тобой на кружечку кофе
но про братьев так и не врубился
чё как
наш брат, ваш брат, твой брат, бро

 

[metafaze]

ничего не понял бро
в Новосибе да с радостью залетел бы с тобой на кружечку кофе
но про братьев так и не врубился
чё как
наш брат, ваш брат, твой брат, бро

это конкретно надо подписаться на телеграмнавозные паблики про андерграунд политоту

 

[artem_gremlin1337]

хей бро конечно тебе тут помогут, мы тебе рады!!

 

[RichieKuklinski]

дада привет я думаю таким крутым как ты нужно спускаться на уровень uefi, обходить secureboot, хукать ExitBootService, ну или StartImage, и нахуй патчить флаг g_CiOptions из ci.dll, к черту этот DSE, ну, а что он мешает читики писать?