Виртуальная машина для пользователя выглядит как чистый отдельный компьютер. Для античита она часто выглядит как огромный предупреждающий знак — и многие просто отказываются работать внутри неё.
Почему ВМ помечаются
Читеры использовали виртуальные машины, чтобы изолировать читерские инструменты или уходить от аппаратных банов, предъявляя свежие виртуальные идентификаторы. Разработчики античитов ответили обнаружением самой ВМ: если окружение виртуальное, игра может отказаться запускаться независимо от того, что внутри.
Процессор выдаёт ВМ
Современные процессоры раскрывают флаг «гипервизор присутствует» через инструкцию CPUID. Когда ПО работает на физическом железе, этот бит сброшен; внутри ВМ он обычно установлен. Это одна из самых быстрых и надёжных проверок ВМ, которую может сделать античит.
У виртуального оборудования характерные имена
Виртуальные машины эмулируют оборудование, и это оборудование несёт узнаваемые имена. Контроллеры дисков, сетевые адаптеры и графические устройства от VMware, VirtualBox или Hyper-V представляются способами, которых нет на физических ПК. Диапазоны MAC-адресов закреплены за поставщиками виртуализации. Ключи реестра, имена драйверов и строки производителя системы — всё это выдаёт тот же факт.
Тайминги и поведение
Некоторые проверки тоньше. Определённые операции под виртуализацией ведут себя с немного другими таймингами, а часть низкоуровневых инструкций возвращает результаты, отличные от физического железа. Античиты объединяют несколько таких слабых сигналов в уверенный вердикт.
Вывод
Обнаружить виртуальную машину для античита намного легче, чем распознать хитрый чит — ВМ выдаёт себя флагами процессора, именами устройств и таймингами. Поэтому совет «просто запусти игру в ВМ» редко работает против серьёзного античита: окружение распознаётся ещё до старта игры.