Krieg hinter den Kulissen: AntiCheat-Tool PunkBuster manipuliert

Wir schreiben das Jahr 2008: Über das Internet wird ein erbitterter Krieg zwischen Programmiereren ausgetragen. Während die eine Seite versucht, das System auf nur jede mögliche Art und Weise zu manipulieren, kämpft die andere verbissen daran, sie aufzuhalten. Die Öffentlichkeit bekommt von diesem Krieg kaum etwas mit, obwohl er oft so verbissen ausgetragen wird, wie der Konflikt im Nahen Osten. Und genau wie dort gibt es auch hier immer mehr unbeteiligte Opfer, die zwischen die virtuellen Fronten geraten.

Willkommen in der Realität

Obwohl sich diese Geschichte anhört wie der Beginn eines billigen Science Fiction Romans, entspricht er doch den Tatsachen. Der Kampf wird ausgetragen: zwischen Hackern und Cheatern auf der einen Seite und den Entwicklern der Anti-Cheat-Software PunkBuster auf der anderen. Wann der Konflikt genau eskaliert ist kann keiner sagen, aber spätestens seit dem 25. März 2008 ist eine neue Dimension erreicht. In einem Statement haben die Macher von PunkBuster bei EvenBalance zum ersten Mal eingeräumt, dass unbeteiligte durch eine Manipulation zu Schaden gekommen und auf Bannlisten gelandet sind.

Manipulation per IRC

Über die genauen Details schweigen sich die Entwickler aus, allerdings haben die Angreifer ihre Operation bis ins letzte Detail beschrieben und dokumentiert. Möglich wurde die Attacke, da PunkBuster den Speicher von Rechnern nach Signaturen von Hacks durchsucht und die entsprechenden Signaturen dieser Hacks von den Angreifern identifiziert wurden. Danach hat man diese kurzerhand mittels des Chatprotokolls IRC auf die Rechner anderer Spielern übermittelt und so die Erkennung eines GameHacks ausgelöst. Wie der Autor Pansemuckl im Forum von netCoders anhand von Screenshots und Videos schildert, landeten so dutzende Spieler auf den Bannlisten wie Punksbusted.com oder PBBans – Angebote, die von Spielern betrieben werden, jedoch nicht zu unterschätzen sind.

Wie sicher muss ein System sein

An die privaten Bannlisten sind weltweit etliche Server angeschlossen und wer auf ihnen landet, wird nicht nur dort ausgeschlossen, sondern oft auch sozial geächtet. Im Zweifel heißt es im Falle von Hacks hier fast immer gegen den Angeklagten, denn den Betroffenen fällt es schwer ihre Unschuld zu beweisen. Die Blutprobe für den PC wurde noch nicht erfunden. In den meisten Fällen steht diese jedoch gar nicht erst zur Debatte, denn es gibt auch Hacks die Zweifelsfrei nachgewiesen werden können. Mittels Logs und Screenshots, die einfach keinen Zweifel mehr zulassen. Aber es gibt auch die beschriebenen Fälle und ein System, das den Angeklagten nahezu keine Möglichkeit zur Verteidigung lässt, muss eigentlich davor sicher sein. Es muss deshalb die Frage gestellt werden, wie diese Manipulation zukünftig unterbunden wird und ob es sich um einen Einzelfall handelt.

IRC kein Einzelfall

Der erste Teil ist dabei einfach beantwortet: EvenBalance wird die entsprechenden Strings aus der Software entfernen, mahnt Spieler jedoch zu Vorsichtsmaßnahmen: Keine automatischen Downloads in Chats und Messengern, dazu hohe Sicherheitsmaßnahmen. Damit sollte das bestehende Problem behoben sein, die Frage nach dem Einzelfall steht jedoch noch im Raum und muss zumindest für Battlefield 2 mit einem klaren Nein beantwortet werden, auch wenn PunkBuster in den anderen Fällen nur als Werkzeug benutzt wird – wenn auch von denselben Agitatoren. Mittels des so genannten PID-Spoofings zum Beispiel, bei dem bereits seit langem Accounts von Spielern ausgelesen, übernommen und dann absichtlich für den Test von Hacks oder Stats-Padding missbraucht werden. Dabei wird über spezielle Tools die BF2.exe die eigene Player-ID mit der von fremden Spielern versehen. Im Visier sind dabei vor allem Top-Spieler, deren Reputation durch die Aktionen und die darauf folgende Erfassung von Hackversuchen in Frage gestellt werden soll. Im Wesentlichen ein Problem der Software Battlefield 2, doch für Spieler ist das oft kaum ersichtlich. Gelistet wird ein Gamehack.

Das Lügenspiel der Hack-Verkäufer

Angesichts dieser gravierenden Vorfälle stellt sich eine weitere Frage: Warum eine Software installieren, die manipuliert wird und dabei so undurchsichtig ist? Die einfachste Methode wäre eine Deinstallation, doch genau das sollen die Attacken erreichen. Die meisten Hacks werden von PunkBuster innerhalb kurzer Zeit erkannt, was deren Anbieter wenig erfreut. Die verkaufen ihre Programme für teures Geld an Spieler und werben dabei mit Zusätzen wie Undetected oder PunkBuster-Proof. Eine Lüge, wie EvenBalance Lead Engineer Micah in einem Interview feststellt. Dort spricht der Entwickler über sich, das Programm und den Umstand, dass immer noch hunderte, wenn nicht tausende Spieler auf die Werbeversprechen hereinfallen obwohl diese Hacks bereits nach kurzer Zeit von PunkBuster erkannt werden. Ein Umstand, der uns von Quellen aus der Szene, die anonym bleiben wollen, bestätigt wurde. Der Zusatz "undetected" gilt oft nur für wenige Tage.

Wolf im Schafspelz

Für die Anbieter der Hacks ist das ärgerlich, denn die Entrüstung nach der Erkennung und dem Bann der eigenen GUID ist auf Kundenseite hoch. Um neue Kunden zu generieren müssen die Programme ständig nachgebessert und neue Technik implementiert werden. Das kostet Zeit und nicht selten Geld, wenn enttäuschte Kunden das Weite suchen, und ist nicht selten die Motivation der Angriffe. Das Image von Even Balance soll geschädigt werden und das funktioniert besonders wirkungsvoll mit Kriegsopfern. Und das Versenden von Code via IRC stellt dabei nicht den ersten Versuch dar. Im Jahr 2005 wurde das Plugin BF2Amp veröffentlicht. Ein Ingame-Controller mit dem sich WinAmp in Battlefield 2 bedienen ließ und der über 10.000 Mal herunter geladen wurde. Versteckt darin waren Fragmente von GameHacks, auf die PunkBuster angeschlagen hat. Das Ziel der Hacker war eine so massive Verbreitung des Tools, dass es Even Balance unmöglich gewesen wäre zwischen aktiv und passiv manipulierten Spielen zu unterscheiden. Der Versuch flog jedoch auf, was jedoch immer noch eine Neuinstallation von BF2 bedeutete, wenn das Plugin installiert war.

Auf dem Rücken der Spieler

Und hier zeigt sich die ganze Crux des Konflikts. Als Spieler ist das Thema nur schwer greifbar und vor Manipulationen wie BF2Amp oder das Versenden des Codes via IRC kann man sich kaum schützen. Der Krieg zwischen den Machern des AntiCheat-Programms und dessen Gegnern wird heftiger immer und in vielen Fällen rückt das kommerzielle Interesse in den Hintergrund. Die Angriffe erfolgen um der Angriffe willen und die Antwort lässt nicht lange auf sich warten. Websites und Foren werden still gelegt, Gegenmaßnahmen in die Software eingebaut und - als Folge - wieder neue Angriffsmethoden entwickelt. Ein endloser Kreislauf Und all das auf dem Rücken der Spieler, die sich für diesen Konflikt weder interessieren, noch Partei ergreifen wollen. Spieler, die Hacks genauso ablehnen wie einen immer stärkeren Eingriff in ihre Rechner, um diese Abzuwehren. Die Situation bleibt also verzwickt, denn ohne PunkBuster geht es nicht. Doch das Vertrauen ist erschüttert und es scheint aktuell kein adäquates Mittel vorhanden um es wiederherzustellen. Solange geht der Krieg weiter und wenn man den Autoren der IRC-Methode glauben schenken kann, werden sie ihn gewinnen. Denn die Masche mit der Übermittlung der Signatur funktioniert angeblich weiter und ungeschützte Rechner gibt es zu Tausenden.