# Детекты

**Детекты** Сбор → обогащение → анализ → вердикт.

HTML version: https://anticheat.ac/ru/docs/detections

## Журналы детектов

Общие и конкретные детекты по шагам. Прямых детектов слишком много, чтобы описывать их по отдельности.

- **Прямые**: Прямое обнаружение читов по остаткам или другими методами.
- **Общие**: Крайне подозрительные исполняемые файлы; высокая вероятность читов, но не 100%, если не указано иное.
- **Конкретные**: Методы вмешательства или модификации ради нечестного преимущества, зависимости читов и подобное.

## Журналы предупреждений

Детекты, которые не обязательно означают читы, но помечают изменения, способные обойти векторы обнаружения.

- **Метод обхода в Prefetch**: Два файла Prefetch (.PF) с одинаковым содержимым, что невозможно.
- **Запущен подозрительный файл**: Подозрительный файл, который нужно проверить вручную.
- **Изменённое расширение**: Файл, содержимое которого не соответствует расширению, например исполняемый файл, переименованный в .txt.
- **Отключён ActivitiesCache**: Пользователь отключил функцию ActivitiesCache.
- **Загружена подозрительная DLL**: Загружена DLL, внешняя для игры. В FiveM возможны ложные срабатывания из-за ReShade.

## Подозрительные журналы

Детекты крайне подозрительных исполняемых файлов. Прочитайте описание, используйте здравый смысл и всегда проверяйте вручную.

- **Обнаружение ВМ / песочницы**: Исполняемый файл проверяет наличие Qemu, VMWare, Sandboxie, Parallels, VirtualBox или Virtual PC — это антиотладочный приём.
- **Исполняемый файл / DLL на DotNet**: Файлы на C# — языке, на котором написано большинство обходов.
- **Упакованный файл (UPX / VMProtect / Themida)**: Неподписанный файл, защищённый упаковщиком, который часто используют для защиты читов. Явный признак, но не доказательство.
- **Изменённый файл**: Файлы, намеренно изменённые, чтобы обойти векторы обнаружения.
- **Process hollowing (P1 / P2)**: Process hollowing или похожие приёмы для обхода векторов запуска.
- **AutoIT / AutoHotkey**: Файлы, созданные в макро-инструментах, которые широко используют для макросов и автокликеров.
- **Защищённое обнаружение читов (S1 / S2 / C3 / C4)**: Защищённое обнаружение читов.
- **Подозрительный файл .NET**: Упакованный защищённый файл на C#.

## Системы обнаружения

Детекты целостности: то, что нарушает целостность проверки или выявляет расхождения.

- **Запущен и изменён**: Ранее запущенный файл позже был изменён — возможное самоуничтожение.
- **Запущен и удалён**: Ранее запущенный файл позже был удалён — возможное самоуничтожение.
- **Prefetch удалён**: Файл Prefetch запущенной программы был удалён — антифорензик-поведение.
- **Подозрительная DLL удалена**: Подозрительная DLL была удалена — возможное самоуничтожение.
- **Обход через сетевой файл**: Файл в сетевом ресурсе был изменён, запущен или удалён.
- **Изменение подозрительного файла**: Изменение, удаление или запуск крайне подозрительного файла.
- **Невозможное изменение файла**: Изменение файла, практически невозможное в обычных условиях.
- **Обход журналов NVIDIA / PowerShell**: Изменение файла, практически невозможное в обычных условиях.
- **Запуск из RAR**: Прямой запуск файла из архива RAR.
- **Запуск с внешнего устройства**: Запуск с внешнего устройства, чаще всего телефона — часто используется для обхода.
- **Удаление с внешнего устройства**: Удаление файла с внешнего устройства.

## Проверки целостности

Самые совершенные системы обнаружения читов в Ocean.

- **Recovery**: Находит файлы даже после удаления, с загрузкой или проверкой на VirusTotal. NTFS и FAT32.
- **Антивирус**: Показывает, какой файл пометил антивирус, тип детекта и время.
- **Общие упакованные моды**: Обнаруживает моды с обфускацией или подозрительными модулями.
- **Движки**: Диапазон обнаружения новых и неизвестных читов. Требуется ключ API VirusTotal.
- **Взаимодействие**: Прямые детекты клиента, теперь часть журналов детектов.
- **Недоверенный файл**: Крайне подозрительные файлы с множеством флагов VirusTotal — для ручной проверки.
- **Экземпляр в RAM**: Использует оперативную память для проверки читов на уровне экземпляра.
- **Детект на основе ИИ**: Учится на телеметрии проверок, чтобы находить читы.
- **Режим RUIN**: Обнаруживает малейшее изменение экземпляра игры. Только Minecraft Java и Ocean+; после проверки игра должна быть закрыта.

## Documentation pages

- [Детекты](https://anticheat.ac/ru/docs/detections)
- [Журналы обнаружений](https://anticheat.ac/ru/docs/detections/detects-logs)
- [Общее](https://anticheat.ac/ru/docs/detections/detects-logs/global)
- [Minecraft](https://anticheat.ac/ru/docs/detections/detects-logs/minecraft)
- [FiveM](https://anticheat.ac/ru/docs/detections/detects-logs/fivem)
- [Журналы предупреждений](https://anticheat.ac/ru/docs/detections/warning-logs)
- [Подозрительные журналы](https://anticheat.ac/ru/docs/detections/suspicious-logs)
- [Системы обнаружения](https://anticheat.ac/ru/docs/detections/detection-systems)
- [Проверки целостности](https://anticheat.ac/ru/docs/detections/integrity-checks)

## Markdown pages

- [Ocean Anti-Cheat](https://anticheat.ac/md/ru)
- [Цены](https://anticheat.ac/md/ru/pricing)
- [Скачать](https://anticheat.ac/md/ru/downloads)
- [Документация](https://anticheat.ac/md/ru/docs)
- [API](https://anticheat.ac/md/ru/docs/api)
- [Full reference for language models](https://anticheat.ac/llms-full.txt)