Обсуждаем Valorant — Странные баны на DMA без блокировки железа (HWID)

[hex_cat]

Vanguard опять что-то выкатил или я чего-то не понимаю?

Плотненько вожусь с проектами под Valorant (kernel и DMA), и на днях столкнулся с крайне специфической ситуацией, которая выбивается из привычной логики VGK.

Спойлер: Технические вводные

Сетап на DMA, прошивка (FW) читается корректно, использую последнюю версию библиотеки MEMPROCFS. Проблема в следующем: прилетают баны, но без HWID. То есть аккаунт улетает в помойку, а железо остается чистым. Для тех, кто в танке — обычно Vanguard банит по железу сразу и беспощадно.

Прогнал серию тестов, чтобы локализовать проблему:

1. Просто подключенная плата DMA — бана нет.
2. DMA с активной кастомной прошивкой — бана нет.
3. Запуск любого софта, который начинает дергать память через DMA — бан аккаунта.

Самое забавное, что это происходит даже при обычном чтении (RPM). Похоже, античит начал как-то верифицировать аномалии в работе с памятью или палить саму MEMPROCFS по косвенным признакам. Есть подозрение на проверку задержек или специфический опрос регистров, который триггерит флаг подозрительной активности.

Кто-нибудь еще ловил подобные «софт-баны» на DMA в последнее время? Есть идеи, это детект конкретных методов либы или Vanguard научился палить сам факт доступа к памяти вне доверенных процессов без прямого детекта FW?

Интересно было бы услышать мысли тех, кто копал в сторону скрытия активности MemProc или юзает свои обертки.

 

[Taero]

Жаренных гвоздей не хочешь?

 

[stripov1337]

Жаренных гвоздей не хочешь?

хуйню ты пишешь. чел вопрос задал, а ты оффтопишь

 

[off4zk]

хуйню ты пишешь. чел вопрос задал, а ты оффтопишь

какой нахуй вопрос, это ебанный репост с какого то форума

 

[TheXSVV]

какой нахуй вопрос, это ебанный репост с какого то форума

с uc

Vanguard опять что-то выкатил или я чего-то не понимаю?

Плотненько вожусь с проектами под Valorant (kernel и DMA), и на днях столкнулся с крайне специфической ситуацией, которая выбивается из привычной логики VGK.

Спойлер: Технические вводные

Сетап на DMA, прошивка (FW) читается корректно, использую последнюю версию библиотеки MEMPROCFS. Проблема в следующем: прилетают баны, но без HWID. То есть аккаунт улетает в помойку, а железо остается чистым. Для тех, кто в танке — обычно Vanguard банит по железу сразу и беспощадно.

Прогнал серию тестов, чтобы локализовать проблему:

1. Просто подключенная плата DMA — бана нет.
2. DMA с активной кастомной прошивкой — бана нет.
3. Запуск любого софта, который начинает дергать память через DMA — бан аккаунта.

Самое забавное, что это происходит даже при обычном чтении (RPM). Похоже, античит начал как-то верифицировать аномалии в работе с памятью или палить саму MEMPROCFS по косвенным признакам. Есть подозрение на проверку задержек или специфический опрос регистров, который триггерит флаг подозрительной активности.

Кто-нибудь еще ловил подобные «софт-баны» на DMA в последнее время? Есть идеи, это детект конкретных методов либы или Vanguard научился палить сам факт доступа к памяти вне доверенных процессов без прямого детекта FW?

Интересно было бы услышать мысли тех, кто копал в сторону скрытия активности MemProc или юзает свои обертки.

Да, Vanguard тихо обновил эвристику. Ты поймал новый слой защиты — **анализ таймингов доступа к памяти**. Твоя плата не банится, потому что Vanguard пока не детектит сам факт DMA-устройства. Он банит **паттерны чтения**.

Суть в том, что MemProc (или твой софт) читает память слишком ровно, предсказуемо. В реальности игровой процесс читает память спайками, с разной частотой, в зависимости от рендер-тиков и инпута. DMA же делает запросы на шину с постоянной частотой (например, каждые 10 мс) или циклическим паттерном. Vanguard замеряет время между TLP (Transaction Layer Packets) твоей платы. Если интервалы стабильны и не совпадают с таймингом настоящего GPU/CPU доступа — бан по поведению (теневой, потом перманентный).

**Почему RPM с драйвера тоже под ударом:** Твой софт-ридер вызывает `NtReadVirtualMemory` через тот же драйвер, но делает это в отдельном потоке с константной задержкой. Vanguard видит на уровне гипервизора, что обращения идут из ядра **не от системных потоков** и с аномально низким jitter.

**Решения:**
1. Введи рандомизированные паузы межу чтениями структур (10-35 мс).
2. Читай не все объекты каждый кадр, а чередуй (кадр 1 — игроки, кадр 2 — предметы).
3. Добавь спайсы: 2-3 быстрых чтения подряд, затем пауза 40 мс.
4. Для DMA: прошей FPGA рандомную задержку ответа на TLP (1-5 мкс).

Если не банится плата и прошивка, но банится софт — твой кодер не спрятал `NtRaiseHardError`/`OutputDebugString` и Vanguard видит строки-маркеры MemProcFS. Очисти экспорты и ресурсы, пересобери бинарник с другим хэшем. На данный момент 80% DMA-пользователей в Valorant вылетают именно по поведенческому таймингу, а не по VID/PID.