Netflix.exe, và lý do ứng dụng chống hack như mã độc gián điệp của Valorant vô dụng

Vì sao gọi Vanguard giống như phần mềm gián điệp?

Đầu tiên, hãy giải nghĩa rootkit và protection rings trước, rồi sau đó sẽ bàn tiếp tới những giải pháp phần mềm chống hack cheat chạy ở tầng sâu nhất của hệ điều hành, như Ricochet của Call of Duty, FaceIt Anticheat, ESEA Anticheat, hay chính bản thân Vanguard. Cái này không phải anh em nào chơi game cũng quan tâm, nhưng nó chính là nguyên nhân khiến Ricochet hay Vanguard lúc được công bố, trở thành thứ gây tranh cãi trong cộng đồng gamer.



Cách vận hành và tương tác giữa phần mềm, hệ điều hành và phần cứng máy tính chia sẻ nhiều mức độ truy cập tài nguyên phần cứng của hệ thống máy tính. Khái niệm này gọi là Hierarchical Protection Domains, hay còn được gọi bằng cái tên ngắn gọn hơn, Protection Rings. Số lượng những vòng bảo vệ này tùy thuộc vào kiến trúc CPU, và hệ điều hành chạy trên kiến trúc đó có khả năng hỗ trợ bao nhiêu vòng bảo vệ (Rings).

Nếu như Ring 1 hay Ring 2 là vòng bảo vệ cho phép những phần mềm dạng driver vận hành phần cứng trong một hệ thống máy tính hoạt động, thì Ring 3 là nơi các phần mềm anh em cài vào máy tính vận hành. Vòng bảo vệ càng ở vòng ngoài thì phần mềm càng được truy cập ít thông tin lưu trữ trong hệ thống phần cứng, từ dữ liệu chạy qua RAM cho tới thông tin mà CPU xử lý.

Ở Ring 0, là mức độ Kernel cơ bản của hệ điều hành. Những ứng dụng và mã lệnh chạy ở Ring 0 có thể truy xuất mọi tài nguyên trên hệ thống phần cứng.



Điều đó đưa chúng ta đến với khái niệm rootkit. Một cách ngắn gọn, rootkit là một khái niệm chỉ những giải pháp vượt rào để truy xuất mọi thông tin và tài nguyên phần cứng, thứ đáng lẽ ra một phần mềm bình thường không thể truy xuất được. Vì khả năng của những phần mềm dạng rootkit, nên chúng thường là những phần mềm độc hại thu thập dữ liệu cá nhân cực kỳ nhạy cảm của người dùng, lưu trữ ở những phân vùng tưởng chừng là bảo mật nhất bên trong hệ thống thiết bị điện toán.

Vấn đề là những giải pháp mình liệt kê ở đầu mục này, Faceit Anti Cheat, ESEA Anti Cheat, hay Vanguard đều vận hành ở Ring 0, y hệt như một rootkit.

Ở khía cạnh tích cực, thì trên lý thuyết không có bất kỳ một phần mềm hay câu lệnh nào xử lý để can thiệp vào thuật toán của trò chơi có thể qua mặt được Vanguard, vì mọi thông tin chạy từ ổ cứng vào RAM, rồi từ RAM qua lại với CPU đều có thể được đọc bởi Vanguard. Vậy là không một phần mềm tạo ra lợi thế bất công nào cho người chơi có thể qua mặt được Vanguard, miễn là nó inject vào code chạy của Valorant để hiển thị thông tin, chẳng hạn như vị trí đối thủ (wallhack) hay hỗ trợ ngắm bắn (aimbot và triggerbot).



Thành ra ban đầu, khả năng nhận diện gian lận của Vanguard đúng là thứ khiến cộng đồng gamer Valorant tự hào. Không thiếu những lần trận đấu tắt đột ngột với thông báo “phát hiện ra người chơi gian lận”, thậm chí cheater trên kênh stream cũng bị bắt rất chính xác.

Còn ở khía cạnh tiêu cực, Vanguard ban đầu là thứ gây tranh cãi vì khả năng đọc và thu thập mọi thông tin từ máy tính của người chơi. Kết hợp thêm với cái thực tế rằng Riot Games từ năm 2015 đã hoàn toàn thuộc quyền sở hữu của Tencent. Năm 2011, Tencent mua lại 93% cổ phần Riot với giá 400 triệu USD, rồi tháng 12/2015, Tencent mua nốt 7% còn lại.

Vanguard có thu thập dữ liệu hay không, và nếu có thì liệu lượng dữ liệu cá nhân này có được gửi về Trung Quốc theo yêu cầu của Tencent hay không, có lẽ là hợp lý khi khẳng định rằng chỉ có Riot Games và Tencent biết. Nhưng dần dần cái sự hiệu quả của Vanguard, giải pháp mà chính client Valorant ứng dụng mà không cần người chơi chọn những client của bên thứ 3 như bên CS:GO (ESEA, FaceIt) đã khiến mọi người dần quên đi nguy cơ về bảo mật và quyền riêng tư.

Mà thật ra nỗi lo là có thật, hồi năm 2013, một nhân viên của ESEA đã chèn thêm vào anti cheat phần mềm đào Bitcoin, ăn cắp sức mạnh máy tính của khoảng nửa triệu người dùng để thu lợi bất chính, thậm chí phá hỏng card đồ họa của nhiều người. Kết quả, ESEA bị phạt 1 triệu USD.

Ấy vậy nhưng, ngay cả khi quét được mọi thứ chạy qua các linh kiện PC, vẫn có thể gian lận một cách hiệu quả và kín kẽ trong Valorant, miễn là người chơi đủ khôn ngoan để không có những tình huống quá lộ liễu, chẳng hạn như soi thẳng vào vị trí đối thủ xuyên tường hay có những pha vẩy tâm quá phi lý, khiến người kiểm duyệt ở Riot xác định người chơi sử dụng giải pháp hỗ trợ gian lận.

Tải cheat về máy, nhưng cheat hoạt động ra sao?

Trùng hợp là, chỉ vài tuần trước khi scandal “netflix.exe” xảy ra ít ngày trước, có một đêm mình bị tò mò bởi một đoạn clip của kênh có tên Unity Research đăng tải trên YouTube. Ngồi xem ngấu nghiến gần 40 phút đồng hồ đoạn clip dưới đây, mình phát hiện ra rằng, với phần mềm chống gian lận chạy ở tầng kernel của hệ điều hành, kỷ nguyên gian lận bằng phần mềm inject code vào mã nguồn game chạy trong máy tính đã kết thúc.



Giải pháp đầu tiên: Chèn mã lệnh điều khiển nhân vật vào bộ nhớ của những thiết bị ngoại vi. Hồi xưa chơi AVA đã có những lệnh macro để súng giảm hẳn độ giật, bắn chính xác hơn và tạo ra lợi thế so với người khác. Rồi đến PUBG, thậm chí còn xảy ra tranh cãi nói rằng macro có phải một hành vi gian lận hay không. Đối với giải pháp này, rất đơn giản, hãng game chỉ cần chặn luôn tính năng chạy lệnh macro trong những driver vận hành chuột máy tính là xong.



Một giải pháp khác là cài phím tắt trong driver để đưa nhân vật của anh em vào đúng vị trí “line up” ném lựu đạn hay những kỹ năng trong game cho chính xác, thay vì thực sự tập luyện trau dồi kỹ năng. Giống hệt như macro giảm giật súng năm xưa, phím tắt để line up, nhảy bunny hoặc nhảy ném đang là thứ gây ra tranh cãi xem có phải là gian lận hay không. Trong môi trường chuyên nghiệp, nhiều giải đấu đã cấm hành vi này.



Trong những giải pháp gian lận cơ bản thông qua phần mềm, để biết vị trí địch đối với wallhack, hay tự động ngắm bắn đối với aimbot hay triggerbot, phần mềm sẽ cần đọc được thông tin chạy qua bộ nhớ máy tính, để hiển thị những thông tin đáng lẽ ra người chơi không được biết, nhận được từ máy chủ, ví dụ vị trí địch, hay tự động điều chỉnh vị trí hồng tâm tới đúng vị trí của đối thủ. Cái này gọi là memory read/write cheat.

Đó là lý do vì sao với hầu hết phần mềm gian lận thông thường, kernel level anti cheat phát hiện ra ngay, vì thấy rõ ứng dụng nào đang đọc dữ liệu game trong bộ nhớ.

Giải pháp từ các lập trình viên: Viết những phần mềm gian lận tải từ tầng driver EFI (Extensible Firmware Interface), tức là ngay lúc máy tính khởi động, trước cả khi anti cheat dạng kernel level tải từ ổ cứng vào RAM, trước cả khi game khởi động. Nhờ đó, phần mềm gian lận có thể đóng giả một driver linh kiện máy tính để đánh lừa phần mềm chống gian lận.



Có hai giải pháp đối mặt với EFI Cheat. Hoặc các nhà phát triển game sẽ phải tìm ra những tác vụ đáng ngờ chạy trong máy tính của những kẻ gian lận đã bị phát hiện. Cách này đỏi hỏi nguyên một đội ngũ nhân sự kiểm duyệt để truy quét những người chơi gian lận. Và thứ hai, những kẻ gian lận này phải dùng chung một giải pháp EFI Cheat thì mới tìm ra được điểm chung.

Cách hai, dễ hơn, Valorant chạy trên Windows 11 bắt mọi hệ thống phải kích hoạt Secure Boot thông qua BIOS, để truy quét mọi phần mềm ngoại lai đóng giả driver EFI để đánh lừa phần mềm chống gian lận, chạy trước cả khi phần mềm cấp kernel được khởi chạy. Đó chính là lý do vì sao hầu hết những kẻ gian lận trong Valorant đều dùng Windows 10, vì không bị ép bật Secure Boot và TPM 2.0. Cẩn thận hơn nữa thì dùng hẳn những bản Windows 11 bị bẻ khóa và đã được chỉnh sửa để chạy phần mềm từ cấp EFI một cách thoải mái.



Thông thường khi phát hiện ra gian lận, phần mềm anti cheat sẽ khóa luôn cả ID của phần cứng máy tính, muốn chơi game tiếp hoặc phải che giấu ID thật của phần cứng, hoặc thay luôn cả phần cứng. Đấy là lý do không thiếu những trường hợp hệ thống PC của cả một quán net bị cấm chơi CS:GO hay Overwatch vì trước đó có kẻ vào quán chơi game sử dụng phần mềm gian lận.

Không cheat được bằng phần mềm thì cheat hẳn bằng phần cứng

Đến đây thì mình không chỉ thấy ấn tượng vì khả năng sáng tạo, vượt qua những hàng rào bảo vệ chống gian lận của một tựa game, mà còn hoảng sợ vì quyết tâm gian lận của một số người trong game.

Đồng ý rằng trên hệ điều hành, Ring 0 hay còn gọi là Kernel-level là tầng sâu nhất, được truy xuất nhiều dữ liệu nhất từ tài nguyên máy tính. Nhưng nó vẫn cứ là tầng phần mềm. Còn một tầng nữa có quyền xử lý thông tin cao hơn cả Ring 0, đó chính là bản thân từng phần cứng trong một hệ thống máy tính.

Nếu như kernel-level anti cheat thừa sức phát hiện ra những phần mềm chạy từ ổ cứng tải vào RAM và xử lý bằng CPU, thông qua việc nhận diện những tác vụ chạy ngầm có tương tác trực tiếp với game, thì những cheater tìm ra cách khác vượt rào, dùng phần cứng độc lập so với hệ thống máy tính để chạy giải pháp gian lận.



Có cheat nào mạnh hơn cả EFI, tải trước cả những cái rootkit gọi là kernel-level anti cheat? Có chứ, gọi là DMA Cheat, viết tắt của Direct Memory Access. Với giải pháp này, phần mềm gian lận chạy trên một hệ thống máy tính thứ 2, độc lập khỏi game và phần mềm anti cheat. Anti cheat có mạnh đến mấy thì cũng chỉ quét được dữ liệu của chiếc máy tính mà nó cài đặt mà thôi.

Để làm được điều này, cần một phần cứng kết nối với máy tính thông qua khe PCIe, gọi là Direct Memory Access Controller. Tác dụng của DMA Controller là đọc dữ liệu trực tiếp từ RAM, phần mềm chống hack không thể quét được vì đó là lệnh phần cứng, không phải phần mềm, qua mặt toàn bộ CPU và hệ điều hành. Từ dữ liệu này, máy tính chạy phần mềm gian lận sẽ xử lý dữ liệu máy chủ game gửi về và lấy những thông tin không được tiết lộ cho người chơi, vị trí địch chẳng hạn, và hiển thị những dữ liệu ấy ở màn hình của máy tính có cài cheat.



Hay thậm chí với một hộp kết hợp tín hiệu đường hình, HDMI Combiner, vị trí địch sẽ hiển thị ở màn hình chính lúc chơi game, nói cách khác là wallhack.

Giải pháp ngăn chặn DMA Cheat khi không thể nhận diện được phần mềm gian lận chạy ở máy tính thứ hai? Đơn giản, cấm máy tính trang bị card DMA Controller kết nối với game là xong, hoặc chặn luôn luồng dữ liệu DMA Controller có thể truy xuất, vì người chơi điện tử chẳng ai cần linh kiện này cả.

Vấn đề là cũng chẳng mấy ai dùng DMA Cheat, vì chi phí quá lớn. DMA Controller giờ có giá vài trăm USD, rồi cần thêm một hệ thống PC thứ hai để chạy phần mềm gian lận. Tỷ lệ người chơi smurf hành gà có khi còn cao hơn nhiều lần so với tỷ lệ người chơi xài DMA Cheat để gian lận.

Giờ là những giải pháp gian lận phổ biến và kín kẽ nhất trong Valorant ở thời điểm hiện tại.



Đó là AHK Cheating, viết tắt của phần mềm AutoHotkey, một phần mềm mã nguồn mở cho phép chạy những đoạn script đơn giản mà cực kỳ mạnh. Lấy ví dụ, nếu màn hình nhận diện được những điểm ảnh có màu sắc tương đồng với màu đỏ ở viền nhân vật của đối thủ, script sẽ tự động nhảy hồng tâm về vị trí địch, một dạng aimbot rất mạnh và rất thông minh, không cần biết vị trí địch, chỉ cần đúng màu là xong.

Nếu AHK Aimbot dễ phát hiện, thì AHK Triggerbot vừa phổ biến, vừa khó phát hiện hơn. Nếu phản xạ kém, chỉ việc kéo chuột về đúng vị trí địch, script từ phần mềm AHK sẽ tự động nổ súng ngay ở thời điểm nhận diện ra hồng tâm đang đặt vào vị trí địch. Bất ngờ là đến giờ Riot vẫn chưa tìm ra cách chặn kiểu gian lận này.



Rồi kết hợp pixel bot với phần cứng bên ngoài, chạy pixel bot trên những microcontroller, Raspberry Pi chẳng hạn, kết nối với máy tính để lấy dữ liệu đường hình, Vanguard lại trở nên vô dụng. Điều bất ngờ là, cộng đồng dùng kiểu gian lận này vừa đông đảo, vừa hợp tác chặt chẽ với nhau, với những hội nhóm trên Discord với hàng vạn thành viên.

Có giải pháp nào để game hoàn toàn sạch hack cheat không?

Nếu như những giải pháp kỹ thuật để ngăn chặn những sáng tạo trong ngành phát triển giải pháp gian lận không có hiệu quả, thì các đơn vị bắt đầu chuyển qua giải pháp kiểm soát con người.

Lấy ví dụ, để kiểm soát người dùng, ESEA và FaceIt đòi cả thông tin số điện thoại và số thẻ tín dụng của người dùng để ngăn chặn những cheater quay trở lại nền tảng này.



Tương tự như vậy, client CS2 5E phiên bản nội địa Trung Quốc thậm chí còn chơi lớn hơn, đòi cả số chứng minh nhân dân và bắt người chơi ngồi trước webcam mỗi lần vào chơi, thấy gương mặt không giống lúc đăng ký là khóa tài khoản ngay lập tức. Hoặc nếu bị phát hiện gian lận, bị ban cả tài khoản lẫn hardware ID, thì dữ liệu gương mặt này sẽ được ứng dụng để cấm họ quay lại nền tảng này bằng tài khoản mới hay thậm chí là cả hệ thống máy tính mới. Cứ tưởng chỉ có chính phủ mới kiểm soát mọi người như vậy, nhưng đôi khi đó là những gì người chơi sẵn sàng chấp nhận, đổi lấy môi trường chơi game công bằng tuyệt đối.

Mà ngày cả khi ứng dụng những giải pháp như 5E hay ESEA và FaceIt, dùng giải pháp gian lận phần cứng cũng chưa chắc đã bị phát hiện bởi phần mềm.

Nói ngắn gọn thì, không có bât kỳ một giải pháp nào hiệu quả 100% trong việc truy quét hack cheat và giữ cho một trò chơi công bằng ở mức tuyệt đối, mà không phải đối mặt với những phản đối từ người dùng. Những cách gian lận đã song hành với bước đường phát triển của lịch sử ngành game, và game online chắc chắn không bao giờ có được một giải pháp ngăn chặn hiệu quả 100% tình trạng người chơi gian lận.