Обсуждаем [Reverse] VGC protobuf сообщения — разбор схемы и фингерпринтинг

[Maguars]

Дампанул и поковырял protobuf-схемы VGC. Версия vanguard/1.18.2-25+20260501.225940, гейтвей /vanguard/v1/gateway. Кредиты ow9kj1w за базу.

Что реально интересно:

1. AuthenticationRequest тянет 15 полей: machine_id, game_token, machine_token, game_id, session_id, плюс app_info и device_info
2. DeviceInfo внутри собирает OSInfo, CpuInfo, GpuInfo, MemoryInfo — полный дамп железа
3. HeartbeatRequest ходит с access_token, timestamp, active_tasks, status, metrics и ready
4. В бинаре нашлись внутренние VanguardSDK-сообщения: ConnectMessage (ID 100), LoginMessage (101), MatchStartMessage (103), DisconnectMessage (2)
5. Секция .grfn1 размером 50 мб — скорее всего обфускация с VM/MBA
6. OpenSSL внутри с certificate pinning и поддержкой TLS 1.3
7. Есть SetFirmwareEnvironmentVariableW — лезут в UEFI/BIOS для fingerprinting

Техническая база процесса:

// AuthenticationRequest field 3 — uint32, tag 0x18
if ( *(_DWORD *)(v5 + 216) ) {
*(_BYTE *)i = 24; // (3 << 3) | 0
// varint encoding...
}

// Хелперы:
// text_133EA0 @ 0x564833EA0 — валидатор полей
// text_DB650 @ 0x5647DB650 — сериализатор строк
// text_133770 @ 0x564833770 — сериализатор вложенных сообщений

Ссылка на полный код:

Пожалуйста, авторизуйтесь для просмотра ссылки.

Вывод:
Схема восстановлена почти полностью. AuthenticationRequest — 15 полей, HeartbeatRequest — 6 полей. LDAP-импорты странные для игрового античита, возможно для корпоративной среды.

Братва кто пробовал эмулировать protobuf-запросы без полного SDK? Интересует именно DeviceInfo и вложенные CpuInfo/GpuInfo.

 

[artem_gremlin1337]

так называемое "поковырял" by дцп_кот

 

[vermors]

болезнь распространяется

 

[xqzme69]

сука пора всё таки добавлять в расширение детект ии слопа