Valve przyznaje: luka w VACnet karmiła system fałszywymi danymi przez ponad rok

W changelogu CS2 z 29 lipca Valve dopisało jedno zdanie: "Fixed a bug that allowed malicious players to avoid being processed by VACnet". Brzmi jak rutynowa poprawka. Nie jest: to pierwszy raz od lat, gdy Valve wprost przyznaje w patch notach naprawę exploita tego rodzaju, a według analityków anti-cheatu sama luka mogła działać od premiery CS2 we wrześniu 2023 roku.

VACnet nie było oszukiwane. Było głodzone danymi

Zanim przejdzie się do szczegółów technicznych, warto rozróżnić dwie różne rzeczy: te cheaty nie omijały werdyktu VACnet. One nie dawały mu żadnych spójnych danych, na podstawie których mógłby ten werdykt w ogóle wydać. CS2 przetwarza akcje gracza nie tylko na poziomie ticków, ale też subticków, czyli precyzyjniejszych znaczników czasowych wewnątrz jednej klatki serwera. Cheat software podszywał się pod te subtickowe dane wejściowe, wysyłając fałszywe kąty patrzenia bezpośrednio do serwera. W efekcie zdarzenia w grze były przetwarzane inaczej, niż zakładał to VACnet, co obniżało skuteczność jego analizy behawioralnej niemal do zera dla konkretnego gracza, mimo że reszta jego rozgrywki wyglądała normalnie.

Analityk anti-cheatu znany jako Matt (@VACdeluxe), regularnie śledzony przez społeczność przy tego typu technicznych rozbiórkach, zwrócił uwagę, że warianty tej techniki istniały od dawna, a Valve łatało pojedyncze elementy tej układanki stopniowo, zanim w końcu publicznie potwierdziło naprawę samego rdzenia problemu. To rozróżnienie tłumaczy też, dlaczego wcześniejsze łatki nie rozwiązywały sprawy do końca: każda z nich zamykała jeden konkretny sposób spoofowania danych, a nie sam mechanizm, który to spoofowanie w ogóle umożliwiał.

Dlaczego akurat to wywołało reakcję, a nie kolejny cichy patch

Społeczność CS2 od dawna traktowała hasło "VAC-Live" z rezerwą, część graczy wprost nazywała je mitem, mimo że Valve bez rozgłosu zbanowało w przeszłości ponad 26 tysięcy kont, a w sieci krążyły nagrania cheaterów banowanych na żywo w trakcie meczu. Problem w tym, że banowanie części cheaterów nie robi wrażenia, jeśli konkretna, systemowa dziura pozwala innym przejść przez tę samą detekcję bez śladu. Publiczne przyznanie się do naprawy tej konkretnej luki, zamiast kolejnego ogólnikowego "poprawiliśmy stabilność", to zupełnie inny sygnał wobec graczy, którzy od miesięcy domagali się gruntownego przeglądu VAC.

Skala problemu, jaką Valve samo ujawniło w przeszłości, robi wrażenie niezależnie od tej konkretnej łatki: odsetek kont CS2 kiedykolwiek oznaczonych jako podejrzane o oszustwa sięgał blisko 15 procent całej bazy graczy. Przy takiej skali nawet jedna, dobrze udokumentowana luka utrzymująca się rok bez oficjalnego potwierdzenia tłumaczy, dlaczego reakcja społeczności na ten konkretny patch note była tak żywa, mimo że sama treść zmiany zajęła jedno zdanie.

Zanim doszło do tej konkretnej naprawy, społeczność regularnie dokumentowała przypadki, które podsycały tę nieufność: gracze z setkami godzin jawnego cheatowania na kontach głównych, klipy pokazujące oczywiste aimboty przechodzące całe mecze bez reakcji systemu, oraz sytuacje, w których cała drużyna traciła postępy rankingowe przez jednego oszukującego gracza, zanim VAC w ogóle zdążył zareagować. Każdy taki przypadek wzmacniał wrażenie, że deklaracje Valve o "aktywnym VAC" rozmijają się z tym, co widać w realnych meczach.

Efekt widać natychmiast

Po aktualizacji użytkownicy rage-hacków i botów aimowych zaczęli dostawać bany już w pierwszej rundzie rozgrywanego meczu, a nie po wielu godzinach opóźnionej analizy, jak to bywało wcześniej. Dostawcy cheatów zareagowali odwrotnie niż zwykle: zamiast reklamować nową obejściówkę, instruowali swoich klientów, żeby na razie wyłączyli najbardziej rażące funkcje, dopóki nie zrozumieją dokładnie, co konkretnie zmieniło się po stronie serwera.

Werdykt SPAWNSY