Erkennungen
Jedes Ergebnis in einem Ocean-Bericht gehört zu einer von fünf Kategorien. Erkennungen sind Beweise, Warnungen und verdächtige Protokolle erfordern die Einschätzung eines Prüfers, Erkennungssysteme decken Versuche auf, Beweise zu verbergen, und Integritätsprüfungen gehen über das hinaus, was gerade läuft. Die Pipeline ist immer dieselbe: Erfassung, Anreicherung, Analyse, Urteil.
Erkennungsprotokolle
Bestätigte Erkennungen. Direkte Erkennungen stammen aus Rückständen eines bekannten Cheats, generische Erkennungen markieren hochverdächtige ausführbare Dateien, und spezifische Erkennungen decken Manipulationsmethoden und Cheat-Abhängigkeiten ab. Die spielspezifische Semantik ist für Global, Minecraft und FiveM dokumentiert.
Warnprotokolle
Änderungen, die zur Umgehung von Erkennungsvektoren genutzt werden können, für sich genommen aber kein Beweis für Cheating sind: doppelte Prefetch-Inhalte, eine ausgeführte Datei, deren Endung nicht zum Inhalt passt, ein deaktivierter ActivitiesCache oder eine von außen ins Spiel geladene DLL. Die Strafe hängt vom Server und von der Warnung ab.
Verdächtige Protokolle
Ausführbare Dateien, die mit einem Grund markiert sind: Virtual-Machine-Prüfungen, .NET-Tools, Packer und Protektoren wie UPX, VMProtect oder Themida, manipulierte Dateien, Process Hollowing sowie AutoIT- oder AutoHotkey-Makros. Lies den Grund und prüfe die Datei manuell, bevor du handelst.
Erkennungssysteme
Anti-Forensik-Verhalten rund um den Scan selbst: ausgeführte und anschließend geänderte oder gelöschte Dateien, entfernte Prefetch-Einträge, Ausführung von einer Netzwerkfreigabe, einem externen Gerät oder direkt aus einem RAR-Archiv sowie Änderungen, die bei normaler Nutzung praktisch unmöglich sind.
Integritätsprüfungen
Die tieferen Systeme: Recovery stellt gelöschte Dateien von NTFS- und FAT32-Laufwerken wieder her, die Antivirus-Korrelation zeigt, was das Antivirus wann markiert hat, Engines bewerten unbekannte ausführbare Dateien über VirusTotal, der Speicher wird zur Laufzeit geprüft, nicht vertrauenswürdige Dateien werden zur manuellen Prüfung aufgelistet, und der RUIN-Modus erkennt die kleinste Änderung an einer Minecraft-Java-Instanz.