Cada hallazgo de un informe de Ocean pertenece a una de cinco categorías. Las detecciones son prueba, los avisos y los registros sospechosos necesitan el criterio de un revisor, los sistemas de detección muestran intentos de ocultar evidencia y las verificaciones de integridad van más allá de lo que se está ejecutando ahora. El proceso es siempre el mismo: recolección, enriquecimiento, análisis y veredicto.
Detecciones confirmadas. Las directas salen de residuos de un cheat conocido, las genéricas marcan ejecutables muy sospechosos y las específicas cubren métodos de manipulación y dependencias de cheats. La semántica por juego está documentada para Global, Minecraft y FiveM.
Modificaciones que pueden servir para evadir vectores de detección, pero que por sí solas no prueban trampas: contenido Prefetch duplicado, un archivo ejecutado cuya extensión no coincide con el contenido, un ActivitiesCache desactivado o una DLL cargada en el juego desde fuera. La sanción depende del servidor y del aviso.
Ejecutables marcados con un motivo: comprobaciones de máquina virtual, herramientas .NET, empaquetadores como UPX, VMProtect o Themida, archivos alterados, process hollowing y macros de AutoIT o AutoHotkey. Lee el motivo y revisa el archivo a mano antes de actuar.
Comportamiento antiforense alrededor del propio escaneo: archivos ejecutados y luego modificados o borrados, entradas Prefetch eliminadas, ejecución desde un recurso de red, un dispositivo externo o directamente desde un RAR, y modificaciones prácticamente imposibles en un uso normal.
Los sistemas más profundos: Recovery recupera archivos borrados de unidades NTFS y FAT32, la correlación con el antivirus muestra qué se marcó y cuándo, Engines clasifica ejecutables desconocidos con VirusTotal, la memoria se revisa en tiempo de ejecución, los archivos no confiables quedan para revisión manual y el modo RUIN detecta el más mínimo cambio en una instancia de Minecraft Java.
