Discussione Gli "hypervisor bypass" sempre più diffusi

[SmoonStyle]

Nell'eterna lotta tra chi progetta sistemi di sicurezza e chi cerca di smantellarli, i “pirati” hanno segnato un punto molto, molto pesante, che sta mettendo in grave difficoltà Denuvo, uno dei sistemi anti-pirateria più diffusi nel mondo dei videogiochi. Dopo anni di relativa stabilità, i cracker hanno trovato un buon metodo per aggirarlo: il nome della tecnica è hypervisor bypass, e benché comporti dei rischi tutt’altro che marginali per il computer che li esegue, sono effettivamente in grado di produrre release cosiddette “zero-day” anche di giochi AAA.

Il caso più emblematico è quello di Resident Evil Requiem, trapelato online poche ore dopo il lancio ufficiale, ma non è l’unico: Crimson Desert, Life is Strange Reunion e Assassin’s Creed Shadows (e la lista è veramente lunga) sono stati violati con la stessa tecnica e con le stesse tempistiche. A differenza dei metodi tradizionali, che richiedono settimane o mesi di reverse engineering, i nuovi bypass operano a un livello più profondo del sistema, noto come Ring -1. In pratica, invece di modificare il codice del gioco, intercettano direttamente le istruzioni della CPU e restituiscono dati falsificati, facendo credere al DRM che tutto funzioni regolarmente.

Basta masticare un pochino di informatica per intuire quanto rischiosa possa essere una soluzione che va a interferire con il sistema addirittura a livello CPU. Per funzionare, un hypervisor bypass richiede la disattivazione di importanti sistemi di sicurezza di Windows, esponendo il sistema a potenziali vulnerabilità. Gli stessi forum della scena mettono in guardia gli utenti: un hypervisor malevolo potrebbe ottenere accesso completo, irrilevabile e virtualmente irreversibile al proprio computer. Se questo rischio può essere giudicato come più remoto e intangibile, ce ne sono anche di più concreti e immediati, soprattutto dal punto di vista di stabilità e prestazioni. Le piattaforme Intel sembrano particolarmente suscettibili in questo senso, mentre quelle AMD sembrano cavarsela meglio, in particolare dal punto di vista della stabilità.

Nonostante ciò, lo sviluppo e la diffusione degli hypervisor bypaass procedono rapidamente, ma naturalmente Irdeto, la società olandese proprietaria di Denuvo, ha confermato di essere al lavoro su contromisure per contrastarli, pur escludendo un passaggio a livelli ancora più profondi del sistema operativo. Come, per ora, è impossibile a dirsi: sarà tuttavia necessario mantenere un equilibrio almeno decente tra sicurezza e usabilità - che già a oggi è tutt’altro che ottimale, a detta di molti giocatori che hanno acquistato in modo legittimo i giochi.​

---

Come funziona
Il cuore del metodo risiede nello sfruttamento di un hypervisor (come il software di virtualizzazione Hyper-V o soluzioni custom sviluppate:​

• Livello di esecuzione: L'hypervisor gira al cosiddetto "Ring -1", un livello di privilegio superiore a quello del kernel del sistema operativo (Ring 0).​
• Intercettazione delle chiamate: Quando Denuvo effettua i suoi controlli di anti-manomissione (trigger), l'hypervisor intercetta queste richieste in tempo reale.​
• Simulazione delle risposte: Invece di far fallire il controllo (che bloccherebbe il gioco), l'hypervisor fornisce a Denuvo le risposte corrette che si aspetta, facendogli credere che la copia sia originale e autorizzata.​
• Invisibilità: Poiché l'hypervisor opera "sotto" il gioco e il sistema operativo, Denuvo ha estrema difficoltà a rilevare che le sue verifiche vengono manipolate​

---

Differenza con le usuali crack​

• Crack classico: Rimuove o modifica le istruzioni di Denuvo all'interno dell'eseguibile (.exe). È estremamente difficile da realizzare perché Denuvo ha migliaia di "check" sparsi ovunque.​
• Bypass Hypervisor: Non rimuove Denuvo; lo lascia attivo e intatto, ma ne neutralizza l'efficacia rispondendo correttamente a ogni sua interrogazione tramite l'ambiente virtuale.​

---

Rischi e limitazioni
L'utilizzo di questo metodo ha sollevato diverse discussioni nelle varie community in quanto viene compromesso:

• Sicurezza: Per funzionare, l'hypervisor richiede spesso di disabilitare funzioni di sicurezza integrate di Windows (come il Core Isolation o il Secure Boot).
• Prestazioni: Essendo un'operazione di virtualizzazione continua, può esserci un leggero impatto sulle prestazioni della CPU rispetto a un gioco non protetto.
• Complessità: Richiede spesso una configurazione manuale del sistema operativo più complessa rispetto al semplice "copia e incolla" dei file di un crack tradizionale.

 

[SmoonStyle]

Denuvo è caduto. E rischia di portarsi dietro un pezzo dell'industria videoludica

Per chi conosce il mercato dei giochi per PC si è trattato subito di un qualcosa di anomalo, anche perché il gioco era protetto da ben cinque strati sovrapposti di DRM. Tra questi anche Denuvo, il sistema anti-pirateria amato dalle software house e odiato dagli utenti, sul quale l'industria videoludica ha fatto affidamento per oltre un decennio.

Resident Evil Requiem non è stato un caso isolato: quando il giorno dopo il rilascio è stata pubblicata anche la versione pirata di Crimson Desert, si è capito che quello che è sempre stato il baluardo inespugnabile si stava sgretolando.

Con conseguenze enormi prima per gli utenti, a livello di sicurezza, e in secondo luogo per un intero settore già flagellato dall’aumento dei costi e da utili sempre più risicati.

Per capire il motivo bisogna però fare un passo indietro e ripartire proprio da Denuvo, che non è un semplice sistema che protegge il file eseguibile di un gioco, è un sistema davvero sofisticato. Utilizza infatti token di licenza generati lato server e legati all'hardware specifico della macchina, ed è capace di nascondere la propria logica di funzionamento dentro macchine virtuali personalizzate che rendono il codice quasi illeggibile per chiunque tenti di analizzarlo. Craccare un titolo protetto da Denuvo non era impossibile, ma richiedeva mesi di lavoro di reverse engineering da parte di cracker altamente specializzati.

Era la classica pirateria tollerabile: a chi sviluppa giochi quei mesi richiesti per craccare un titolo sono sufficienti per sfruttare commercialmente il gioco, le vendite si fanno nelle prime settimane, la finestra commerciale. Con Denuvo craccato quella finestra è scomparsa.

Nei giorni scorsi si parlava dei rischi della pirateria, è stato presentato anche un report a riguardo, e questa storia calza a pennello, tanto che ci è stata pure sollecitata nei commenti a quell’articolo. Il motivo è semplice: il modo in cui i giochi vengono caricati richiede che gli utenti abbassino le difese del computer ad un livello tale che si può affermare che il pirata sta barattando 90 euro di gioco con il rischio che gliene vengano sottratti molti di più.

Tutti i sistemi operativi moderni organizzano i privilegi di accesso all'hardware in livelli numerati, chiamati "ring". Una serie di cerchi concentrici, più si è vicini al centro più potere si ha sul sistema.

Il software gira al Ring 3, il livello più esterno, con accesso limitato e controllato. Il kernel di Windows, che è il cuore del sistema operativo, gira invece al Ring 0: può fare quasi tutto, ma è ancora sorvegliato da protezioni superiori. Denuvo lavora a questo livello per effettuare i suoi controlli sulla originalità della copia.

Fino ad oggi tutti i sistemi di crack che venivano “cucinati” ad hoc per ogni singolo titolo cercavano di operare allo stesso livello del kernel, analizzando e neutralizzando ogni singolo controllo di Denuvo. Un lavoro immane, tanto che servivano mesi per rintracciarli tutti e in molti casi non si riusciva nell’intento.

Come hanno fatto quindi a craccare Denuvo? Sono scesi ancora più in basso ad un livello, il Ring -1, che è nato nel momento in cui è stata introdotta nelle CPU la virtualizzazione hardware. È un livello ancora più privilegiato perché è usato dagli hypervisor, i software che gestiscono macchine virtuali (come VMware o VirtualBox).

I pirati, installando un hypervisor personalizzato, riescono a spostare il sistema operativo Windows sopra di esso come se fosse un ospite e quindi l'hypervisor diventa il vero padrone della macchina, con accesso illimitato a tutto. Da questa posizione il crack intercetta ogni richiesta hardware di Denuvo come i controlli identificativi della CPU, le misurazioni, le variabili di sistema e restituisce valori falsificati, facendo credere al software di protezione che tutto sia regolare.

Per chi se lo stesse chiedendo è possibile eseguire Windows sopra un hypervisor senza reinstallarlo grazie a tecniche di virtualizzazione avanzata che permettono di “inserire” un livello di controllo sotto il sistema operativo già in esecuzione. Intel e AMD hanno driver specifici per farlo, e i pirati li hanno sfruttati. Windows viene così trasformato dinamicamente in una macchina virtuale, mentre l’hypervisor assume il controllo diretto dell’hardware, operando a un livello più privilegiato.

Questo vuol dire che il codice di Denuvo non viene mai toccato né modificato, perché non c'è nulla da “craccare”: il gioco gira nella sua forma originale. Si potrebbe anche dire che si trova in una sorta di “matrix”, una realtà simulata costruita appositamente per ingannarlo.

Questo è il motivo per il quale da settimane sui siti pirata stanno arrivando versioni di giochi mai craccate, un solo metodo ha di fatto disinnescato il più sofisticato metodo antipirateria software mai esistito. Peccato che ci sia un lato terribile in tutto questo: per fare girare un hipervisor non firmato su Windows, come quello che il crack di Denuvo richiede, l'utente deve praticamente spegnere l'intera architettura di sicurezza di Windows. Le protezioni da disabilitare includono la Virtualization-Based Security, che isola le credenziali e i processi critici in un ambiente separato e inviolabile, l'Hypervisor-Enforced Code Integrity, che impedisce l'esecuzione di codice non firmato nel kernel e il Driver Signature Enforcement, che garantisce che qualsiasi driver installato provenga da una fonte verificata da Microsoft.

Inutile dire che è una situazione folle: vuol dire consegnare le chiavi del proprio computer ad un software scritto da qualcuno che nella vita (o per passatempo) fa il pirata. Irdeto ha confermato di essere al lavoro su contromisure, ma molti utenti esperti sono scettici: gli anelli di protezioni sono fatti proprio per impedire a chi sta dentro un anello di vedere cosa succede “dietro”, e rilevare un hypervisor dal sistema operativo virtualizzato è praticamente impossibile. Sarebbe come cercare di capire dall’interno di una stanza finta se è davvero finta osservando le pareti.

Per farlo Denuvo dovrebbe anche spostarsi allo stesso livello, fuori dal sistema, ma come è folle che un software pirata abbia un tale privilegio è altrettanto folle darlo a Denuvo. Difficile anche che Microsoft permetta ad una società terza di avere un livello di controllo tale sul suo sistema.

Denuvo, inoltre, è stato criticato più volte per il carico computazionale che aggiunge al gioco, penalizzando le prestazioni: il rischio è un Denuvo ancora più pesante, e quindi una penalizzazione per chi i giochi li compra di tasca sua.

La caduta di Denuvo è un doppio problema. Ci sono i rischi enormi che una persona corre, soprattutto se davanti alla possibilità di avere qualcosa di gratis non valuta con equilibrio quelle che possono essere le conseguenze. Questa volta i rischi sono seri. Ma è soprattutto un campanello d'allarme per un'industria che negli ultimi anni ha già affrontato crisi occupazionali profonde, fallimenti di studi storici, cancellazioni di progetti e un crollo della fiducia del pubblico.

Il modello economico dei giochi AAA su PC si regge su un unico pilastro: il periodo di lancio del gioco deve generare ricavi sufficienti a giustificare gli anni di sviluppo.

Senza una contromisura i rilasci “0 day” delle copie pirata sono destinati a diventare la norma, demolendo quel pilastro che tiene in piedi il palazzo. Con conseguenze che vengono poi pagate da chi ama giocare, rispetta il settore, compra i giochi che può permettersi, e aspetta che scendano di prezzo quelli che magari vorrebbe giocare, ma può permettersi di aspettare.

Una di queste potrebbe essere quella verso il modello “sempre-online" che rende il gioco inutilizzabile senza connessione costante ai server. Nel momento in cui il gioco in mobilità inizia a diventare interessante grazie a soluzioni come la Rog Ally, la richiesta di connessione attiva per verificare una licenza rischia di stroncare sul nascere un intero segmento.

Alla lunga può anche portare ad una accelerazione verso il cloud gaming, che paradossalmente sarebbe l’unico servizio di streaming oggi non piratabile e sicuro. Per i publisher questa è la soluzione definitiva al problema della pirateria, ma per i giocatori significa perdere non solo ogni forma di possesso dei propri giochi ma anche la fine del piacere di avere un computer da gaming.

Per chi ama giocare la perdita del computer che si è costruito con cura è un qualcosa difficile da quantificare.

 

[SmoonStyle]

Denuvo sempre più in difficoltà: RE Requiem crackato dopo solo 40 giorni

Continuano le bruttissime notizie per Irdeto: la solidità del suo software anti-pirateria Denuvo, molto diffuso soprattutto nei videogiochi, sembra sgretolarsi sempre più velocemente. Negli scorsi giorni è stato crackato in modo completo e totale Resident Evil: Requiem, a distanza di appena 40 giorni dall’uscita, inoltre sembra che gli approcci tramite Hypervisor Bypass stiano per diventare molto più accessibili, senza obbligare l’utente a disattivare funzionalità di Windows che in ultimo rendono il computer molto meno sicuro a tutto tondo.

È importante fare una precisazione: una cosa sono i bypass, un’altra sono i crack completi. Nel primo caso il codice del software di protezione (in questo caso appunto Denuvo) rimane parte del programma che protegge, semplicemente viene reso in qualche modo inefficace. Nel caso dei crack veri e propri, questo codice viene proprio rimosso. In concreto, significa che un gioco crackato con Hypervisor Bypass ha le stesse prestazioni della copia originale, mentre quello crackato “per davvero” gira meglio.

Denuvo è molto odiato dai giocatori proprio perché ha un impatto negativo sulle prestazioni dei giochi. Con l’uscita del crack di Resident Evil Requiem, questo impatto si può misurare concretamente, ed è piuttosto scandaloso: non solo sulla versione crackata il frame rate sale di circa 5 punti percentuali, ma crolla drasticamente la VRAM occupata (fino a 2 GB!) e la RAM di sistema (fino a 1 GB). Si riducono anche i picchi di uso della CPU e i frametime risultano più regolari, a tutto vantaggio dell’esperienza d’uso complessiva.

Molti di questi recenti progressi nella lotta contro Denuvo si riconducono a un solo nickname: Voices38. Non è chiaro se si tratta di un individuo singolo o un team, fatto sta che è il responsabile del cracking record di Resident Evil: Requiem, tra le tante altre cose. In ogni caso, come dicevamo, anche la questione dell’Hypervisor Bypass sta per diventare molto più semplice e alla portata di tutti: secondo sviluppatori della scena, sarebbe in arrivo una versione semplificata “plug-and-play”, capace di funzionare senza compromettere le impostazioni di sicurezza del sistema.

Immaginiamo che negli uffici di Irdeto il clima non sia particolarmente disteso in questo periodo. La società olandese ha già detto di avere pronte delle contromisure; staremo a vedere. Se magari si riuscisse a fare qualcosa di un po' meno impattante sulle risorse del computer, e quindi sulle prestazioni finali del gioco, non sarebbe male, ecco.

 

[SmoonStyle]

Denuvo è ormai definitivamente sconfitto?

A quanto pare la situazione di Denuvo continua a peggiorare: la scena dei cracker sostiene ormai che non esiste più gioco protetto con questa tecnologia che non possa essere piratato in tempi utili, tra crack tradizionali e nuovi metodi di bypass. La svolta è naturalmente arrivata nelle scorse settimane con le tecniche ormai diventate note come Hypervisor Bypass, piuttosto pericolose nelle loro implementazioni originali perché disattivavano molte misure di sicurezza del computer e del sistema operativo, ma che stanno rapidamente evolvendo e diventando molto più sicure e affidabili.

Dall’altra parte ci sono i geniacci come l’ormai leggendario Voices38, cracker solitario (o piccolo team, impossibile a dirsi) che ha rifinito la tecnica di cracking tradizionale, rimuovendo ogni traccia della sofisticata tecnologia di protezione dagli eseguibili dei giochi, restituendo loro non solo la libertà, ma anche le prestazioni perse nel tentativo di arginare la pirateria (e i miglioramenti sono tutt’altro che trascurabili). Anche all’interno della community, il cambio di percezione è evidente. Figure note come FitGirl parlano apertamente di una protezione ormai “inutile”.

Introdotto nel 2014 per difendere titoli come FIFA 15, Denuvo si è imposto rapidamente come standard di fatto per gli editori, grazie a un mix di tecniche anti-manomissione e, più recentemente, soluzioni anti-cheat. È sempre stato estremamente impopolare tra i giocatori, però, soprattutto perché è stato dimostrato a più riprese che la sua presenza ha un impatto negativo sulle prestazioni dei giochi - non necessariamente solo in termini di framerate puro, ma fluidità e stabilità. Nel tempo, gruppi di cracking e sviluppatori indipendenti sono riusciti a violarlo caso per caso, ma il processo era lento e complesso. Le grandi vendite un gioco le fa nelle prime settimane: se i pirati ci mettono sei mesi a bypassare le protezioni, tutto sommato la si può considerare una vittoria degli editori.

Irdeto, l’azienda dietro Denuvo, ha confermato di essere al lavoro su contromisure, ma non è chiaro quanto possano incidere nel breve periodo. Restano alcune eccezioni marginali, soprattutto nel segmento VR, ma potrebbero essere temporanee. Se il trend attuale dovesse continuare, Denuvo rischia di perdere definitivamente il ruolo centrale che ha avuto per oltre un decennio nel mercato PC.

 

[SmoonStyle]

Denuvo è stato bucato in ogni gioco e allora spunta il possibile check online obbligatorio

La lotta fra Denuvo e la pirateria sembra volgere nettamente a favore di quest'ultima, con i vari cracker che hanno recentemente celebrato il fatto che il sistema di sicurezza anti-tamper è stato infine bucato su ogni singolo gioco in cui è stato inserito, ma questo potrebbe aver provocato una risposta drastica da parte della compagnia, che pare abbia intenzione di introdurre un check online obbligatorio sui giochi protetti dal sistema, a partire da quelli 2K.

La questione va avanti da mesi: già l'anno scorso, alcuni dei più prolifici personaggi intenti alla lotta a Denuvo avevano lanciato il nuovo sistema hypervisor-based bypass (HVB) in grado di installare un driver al livello di kernel per intercettare e rispondere ai controlli di Denuvo in modo da eluderli.

La risposta da parte di Denuvo potrebbe allora essere un sistema ancora più restrittivo: in base a quanto riferito, pare che la compagnia abbia deciso di introdurre un sistema di controllo che impone check online ogni 14 giorni, a partire dai giochi 2K.

I primi titoli ad adottare questo sistema dovrebbero essere vari titoli dell'etichetta in questione come NBA 2K26, e si tratterebbe di una soluzione che non può essere elusa perché richiede una risposta diretta dai server di Denuvo.

Ovviamente, questo preoccupa ancora di più i giocatori che acquistano regolarmente i titoli, perché oltre all'annosa questione sui presunti peggioramenti di performance (o incremento di carico di lavoro sulla CPU) che Denuvo può comportare si aggiunge anche lo spettro dell'always online anche per i titoli single player, altro noto spauracchio di molti giocatori.