Cheat Engine Unauffindbar

Academic-Research-Edition — Modifizierter Cheat Engine mit mehrstufiger Anti-Cheat-Umgehung für Cybersicherheitsbildung und Reverse-Engineering-Forschung auf Universitätsniveau.

Haftungsausschluss: Dieses Projekt dient ausschließlich akademischer Forschung, Universitätskursen und Cybersicherheitsbildung. Es muss nach Abschluss des akademischen Semesters zerstört werden.

---

Architektur

┌─────────────────────────────────────────────────────────┐
│                    Cheat Engine 7.5                      │
│                   (Lazarus / FreePascal)                  │
├─────────────────────────────────────────────────────────┤
│  T1: User-Mode-Umgehung                                  │
│  ├─ Fenster-/Prozess-/Registrierungsschlüssel-Randomisierung (-daltname)│
│  ├─ PE-Metadaten-Entfernung & Abschnittsumbenennung      │
│  ├─ Rich-Header-Entfernung & Zeitstempel-Randomisierung  │
│  ├─ Direkte Syscall-Stubs (umgeht ntdll.dll-Hooks)       │
│  └─ Dynamische Syscall-Nummernextraktion von der Festplatte│
├─────────────────────────────────────────────────────────┤
│  T2: Kernel-Brücke (BYOVD — WinNotify.sys)               │
│  ├─ Anti-Cheat-Erkennung (10 Engines)                    │
│  ├─ Microsoft-signierter Treiber (WinNotify.sys / signeddrv.sys)│
│  ├─ Kernel-Virtual-Memory-Lesen/Schreiben über IOCTL (kein phys. Mapping)│
│  ├─ CR3-basiertes Page-Table-Walking für jeden Prozess   │
│  ├─ KASLR-Umgehung über Kernel-Basis-Offenlegungs-IOCTL  │
│  ├─ ObCallback-Umgehung (Kernel-Struktur-Manipulation)   │
│  └─ Prozessverstecken (PsActiveProcessLinks-Entkopplung) │
├─────────────────────────────────────────────────────────┤
│  T3: DMA-Hardware [NICHT IMPLEMENTIERT]                  │
│  └─ PCIe-FPGA/Gerät für Hypervisor-Ebene-AC-Umgehung     │
└─────────────────────────────────────────────────────────┘

Abdeckungsmatrix

Anti-Cheat	Typ	Strategie	Status
Warden (Blizzard)	User-Mode	T1	Funktional
VAC (Valve)	User-Mode	T1	Funktional
XIGNCODE3	User-Mode-Treiber	T1	Funktional
EasyAntiCheat	Kernel-Treiber	T2	Erfordert WinNotify.sys
BattlEye	Kernel-Treiber	T2	Erfordert WinNotify.sys
nProtect GameGuard	Kernel-Treiber	T2	Erfordert WinNotify.sys
Ricochet (CoD)	Kernel-Treiber	T2	Teilweise
Vanguard (Riot)	Hypervisor	T3 (DMA)	NICHT IMPLEMENTIERT
Faceit / ESEA	Kernel + Hypervisor	T3 (DMA)	NICHT IMPLEMENTIERT

Dateistruktur

.
├── README.md
├── Build.ps1                     # Automatisierte Build-Pipeline (klont CE, wendet Patches an, baut)
├── .gitignore
├── src/
│   ├── cheatengine.lpi           # Projekt: umbenannte Metadaten, -daltname-Define, umbenannte Ausgabe
│   ├── cheatengine.lpr           # Hauptprogramm: dynamischer Application.Title
│   ├── NewKernelHandler.pas      # Kern: T1+T2-Integration, Funktionszeiger-Austausch
│   ├── SyscallGateway.pas        # T1: Direkte Syscall-Stubs (Read/Write/Open/VQE)
│   ├── AntiCheatDetector.pas     # T2: AC-Erkennung — Prozesse, Treiber, Dienste
│   ├── PhysicalMemory.pas        # T2: Treiber-Loader + physischer Speicher L/S über IOCTL
│   ├── KernelBridge.pas          # T2: Kernel-Bypass-Orchestrator + ObCallback-Deaktivierung
│   ├── StealthHiding.pas         # T2: Prozessverstecken über PsActiveProcessLinks-Entkopplung
│   ├── PEPatcher.ps1             # PE-Mutation nach dem Build
│   └── Build-Stealth.ps1         # Legacy-Standalone-Build-Skript
└── cheat-engine/                  # Upstream-CE-Quellcode (von Build.ps1 geklont)

Funktionsweise

Stufe 1: User-Mode-Umgehung

Oberflächen-Verschleierung — Nutzt die eingebaute {$ifdef altname}-Bedingungskompilierung von CE:

• Fenstertitel: "Runtime Modifier" statt "Cheat Engine 7.5"
• Registrierungsschlüssel: \Software\Runtime Modifier\ statt \Software\Cheat Engine\
• Alle benutzersichtbaren Zeichenfolgen: "Modification", "Code Table" usw.
• PE-Metadaten: generische Firmen-/Dateibeschreibungen, entfernte Versionsinformationen
• Ausgabename: sysdiag64.exe statt cheatengine-x86_64.exe

Syscall-Gateway — Der DBK-Kernel-Treiber von CE ist deaktiviert (sein Zertifikats-Hash ist von EAC/BE auf die Blacklist gesetzt). Stattdessen werden alle Speicherzugriffsfunktionen (ReadProcessMemory, WriteProcessMemory, VirtualQueryEx, OpenProcess) über direkte syscall-Instruktions-Stubs umgeleitet:

• Liest ntdll.dll von der Festplatte, bevor Anti-Cheat-Hooks aktiv sind
• Analysiert die PE-Exporttabelle, um rohe Syscall-Nummern zu extrahieren
• Generiert Assembly-Stubs: mov r10, rcx; mov eax, [syscall_num]; syscall; ret
• Umgeht User-Mode-Hooks in ntdll.dll, die von EAC/BE installiert wurden

Stufe 2: Kernel-Brücke (BYOVD — WinNotify.sys)

Für Kernel-Ebene-Anti-Cheats, die die Handle-Erstellung über ObRegisterCallbacks blockieren:

1. Erkennung: Scannt nach EAC/BE-Treibern (EasyAntiCheat.sys, BEDaisy.sys) und Diensten
2. Treiber-Laden: Lädt WinNotify.sys / signeddrv.sys (Microsoft Authenticode-signiert, 2026, 0 VT-Erkennungen) über den Windows-Dienststeuerungsmanager
3. KASLR-Umgehung (IOCTL 0x22200C): Liest die Basisadresse von ntoskrnl.exe direkt aus der geladenen Modulliste des Kernels
4. Kernel-Virtual-Memory-Lesen/Schreiben (IOCTL 0x222040/0x222044): Liest/schreibt jede Kernel-Virtualadresse — keine physische Adressübersetzung erforderlich
5. EPROCESS-Walk: Findet den Systemprozess (PID=4), durchläuft ActiveProcessLinks, um den Ziel-Spielprozess zu lokalisieren
6. CR3-Page-Table-Walk (IOCTL 0x222050/0x222054): Verwendet die DirectoryTableBase des Spiels, um dessen virtuellen Speicher über seine eigenen Page Tables zu lesen/schreiben
7. Null Handles erforderlich: Kein OpenProcess, kein NtReadVirtualMemory — vollständig unsichtbar für ObCallbacks
8. Prozessverstecken: Entkoppelt den EPROCESS von CE aus PsActiveProcessLinks

Stufe 3: DMA-Hardware (NICHT IMPLEMENTIERT)

Für Hypervisor-Ebene-Anti-Cheats (Vanguard, Faceit) wäre ein PCIe-DMA-Gerät erforderlich, um physischen RAM vom Bus zu lesen und dabei sowohl Kernel- als auch Hypervisor-Schutz zu umgehen. Als zukünftige Forschungserweiterung dokumentiert.

Voraussetzungen

1. Lazarus IDE 3.x mit FreePascal 3.2.2: https://www.lazarus-ide.org/
2. Git zum Klonen des Upstream-CE-Repositorys
3. Administratorrechte (erforderlich für Treiber-Laden und Prozesszugriff)
4. WinNotify.sys / signeddrv.sys — Microsoft-signierter Kernel-Treiber, der Folgendes bereitstellt:
   • Beliebiges Kernel-Virtual-Memory-Lesen (IOCTL 0x222040)
   • Beliebiges Kernel-Virtual-Memory-Schreiben (IOCTL 0x222044)
   • Pro-Prozess-CR3-Page-Table-Walker (IOCTL 0x222050/0x222054)
   • Platzieren Sie ihn in C:\Windows\System32\drivers\ oder neben der kompilierten ausführbaren Datei

Build-Anleitung

git clone https://github.com/NulledNah/cheat-engine-undetectable.git
cd cheat-engine-undetectable
.\Build.ps1 -Clean

# Wenn Lazarus nicht in C:\lazarus ist:
.\Build.ps1 -Clean -LazarusPath "D:\lazarus"

Das Skript:

1. Klont den Upstream-Cheat-Engine (falls nicht vorhanden)
2. Kopiert gepatchte Dateien in den Upstream-Quellcode
3. Randomisiert Build-Identifikatoren (Version, Build-Nummer)
4. Kompiliert mit lazbuild im Release-64-Bit-Modus
5. Führt PEPatcher aus, um den Rich-Header zu entfernen, Abschnitte umzubenennen und den Zeitstempel zu randomisieren
6. Gibt bin\sysdiag64.exe aus

Laufzeitverhalten