Matriz de diagnóstico: Controladores anti-cheat, certificados e perigos de rootkits
Ao jogar em servidores privados ou piratas de jogos online, é comum que os iniciadores exijam a instalação de drivers .sys próprios. Como a comunidade já aceita que anti-cheats renomados (como Vanguard e Easy Anti-Cheat) operem no Kernel (Ring 0), cibercriminosos aproveitam para instalar rootkits de nível de kernel ou usar a técnica BYOVD (Bring Your Own Vulnerable Driver).
| Tipo de Driver | Nível de Privilégio | Requisitos de Assinatura | Mecanismo de Exploração | Grau de Perigo para o PC |
|---|---|---|---|---|
| Anti-cheat Oficial (EAC/Vanguard) | Ring 0 (Modo Kernel) | Certificado EV com validação WHQL da Microsoft | Falhas zero-day extremamente raras | Supervisionado e atualizado continuamente |
| Driver Próprio de Servidor Pirata | Ring 0 (Modo Kernel) | Autoassinado; exige desativar proteções do Windows | Acesso irrestrito a senhas e memória do sistema | Fatal: Controle total da máquina por invasores |
| Ataque BYOVD | Ring 0 via driver antigo | Assinatura legítima de empresa famosa | Abusa de brechas conhecidas para derrubar o antivírus | Fatal: Desativa o Windows Defender pelo kernel |
| Anti-cheat em Modo Usuário | Ring 3 (Aplicativo) | Assinatura padrão de executável | Restrito à leitura da janela do jogo | Baixo: Não afeta os arquivos centrais do Windows |
O perigo da técnica BYOVD
Como invasores conseguem privilégios de kernel sem pagar milhares de dólares por certificados da Microsoft?
- O Windows barra drivers sem assinatura através da proteção DSE.
- O instalador traz embutido um driver original de anos atrás que possui assinatura válida, mas contém uma brecha crítica catalogada (CVE).
- O Windows carrega esse driver no Ring 0 sem suspeitar de nada.
- O malware comunica com o driver falho para gravar comandos na memória mais profunda do Windows, desativando softwares de segurança.
Regras para proteger seu computador
1. Jamais desative a imposição de assinatura de drivers
- Se o tutorial do servidor mandar colar estes comandos no prompt de comando:
bcdedit /set nointegritychecks onbcdedit /set testsigning onCancele a instalação na mesma hora. Isso desarma as travas centrais do Windows.
2. Mantenha a Integridade da Memória (HVCI) ativada
- Abra Segurança do Windows -> Segurança do dispositivo.
- Clique em Detalhes do isolamento do núcleo.
- Ative a Integridade da memória. O sistema usará virtualização para barrar drivers com brechas conhecidas.
3. Inspecione drivers com o Sigcheck da Microsoft
- Baixe o Sigcheck (pacote Sysinternals).
- Execute no terminal:
sigcheck64.exe -h -v [caminho_do_driver.sys]para checar a procedência do certificado.