Обсуждаем VALORANT — углубленный анализ античита Vanguard (2026)

[Maguars]

Разбираем live-dump Vanguard и часть init-chain после self-decrypt.

Поковырял свежий devirtualized dump vgk.sys и внутри оказалось довольно много интересного.

Что сразу бросается в глаза:

1. Runtime-resolve API через MmGetSystemRoutineAddress.
   Большая часть интересных kernel exports вообще не светится в обычном import table.
2. DriverEntry сделан как trampoline.
   Execution уходит через .riot1, EB FF gadgets, VM dispatcher и MBA pads перед real init.
3. Vanguard активно использует protected process ring, worker threads и callback-инфраструктуру.

Техническая база процесса:

https://pastebin.com/raw/HY1KUhuK

Из самого интересного пока выглядит связка HAL PMC hook + stack walker + saved-handler table. Очень похоже на SSDT-style dispatch без прямого SSDT patching.

Интересно, кто-нибудь ещё ковырял свежие live dump'ы vgk.sys? Или смотрел их VM/MBA слой глубже?

 

[tupotapokon60hz]

hex_cat где

 

[xqzme69]

hex_cat взломал модератора раздела "Valorant"

 

[artem_gremlin1337]

hex_cat взломал модератора раздела "Valorant"

hex_cat где

наслаждается своим профилем

 

[arescapiece]

Разбираем live-dump Vanguard и часть init-chain после self-decrypt.

Поковырял свежий devirtualized dump vgk.sys и внутри оказалось довольно много интересного.

Что сразу бросается в глаза:

1. Runtime-resolve API через MmGetSystemRoutineAddress.
   Большая часть интересных kernel exports вообще не светится в обычном import table.
2. DriverEntry сделан как trampoline.
   Execution уходит через .riot1, EB FF gadgets, VM dispatcher и MBA pads перед real init.
3. Vanguard активно использует protected process ring, worker threads и callback-инфраструктуру.

Техническая база процесса:

https://pastebin.com/raw/HY1KUhuK

Из самого интересного пока выглядит связка HAL PMC hook + stack walker + saved-handler table. Очень похоже на SSDT-style dispatch без прямого SSDT patching.

Интересно, кто-нибудь ещё ковырял свежие live dump'ы vgk.sys? Или смотрел их VM/MBA слой глубже?

У меня уже слово "ковырял" ассоциируется с дцп_котом и его щитпостами

 

[RichieKuklinski]

ебать углубленно

 

[artem_gremlin1337]

ебать углубленно

углубленный реверс вм гриффин вангвард by дцп_кот

 

[arescapiece]

К 2030 году форум будет захвачен чатом джбт и я тогда, ну наверное повешусь