脅威比較表：正規アンチチート vs 偽装カーネル Rootkit
PC ゲームでは Ring 0（カーネル層）で動作するアンチチート（Vanguard や EAC 等）が一般化していますが、これに便乗して脆弱な正規ドライバーを悪用する BYOVD（Bring Your Own Vulnerable Driver）攻撃が急増しています。
| ドライバー種別 | 電子署名 | 動作権限 | 挙動と脅威 |
|---|---|---|---|
| 正規アンチチート | WHQL 認証済み EV 署名 | Ring 0 カーネル | 不正なメモリアクセスを監視・遮断 |
| BYOVD 攻撃用ドライバー | 過去の失効済み署名等 | Ring 0 カーネル | セキュリティソフトの監視機能を強制終了 |
| 偽大会プラットフォーム製 | テスト署名・オレオレ署名 | Ring 0 カーネル | トークン窃取・遠隔操作バックドアの常駐 |
対策手順：メモリ整合性（HVCI）の有効化
- Windows セキュリティ -> デバイス セキュリティ -> コア分離の詳細 を開きます。
- メモリ整合性 を「オン」に設定。
- Microsoft の脆弱なドライバーのブロック規則 を「オン」にします。
- 互換性のないドライバーが原因で有効化できない場合は、
pnputilで削除します：pnputil /delete-driver oemXX.inf /uninstall /force
- 不審なモジュールの特定には Windows 標準の
verifier.exeを活用してください。