Eine Analyse der ESL-Bustnews

Hinweis:
Dieser Artikel ist sehr alt und gibt mit hoher Wahrscheinlichkeit nicht mehr meine heutige Meinung zu diesem Thema wieder. Aus Transparenzgründen (und weil das Internet sowieso nicht vergisst), lasse ich den Text dennoch online.

Ich hatte schon länger einmal vor eine der Bustnews der ESL zu analysieren. Immerhin war ich früher ja selbst daran beteiligt und hatte zum Teil doch eine erheblich andere Meinung darüber, wie sie auszusehen hätten, als zum Beispiel die PR-Abteilung.

Doch erst einmal zur Geschichte der Bustnews – die Ersten gab es im Jahre 2006 ( [1] [2]), nachdem Aequitas zuerst in den EAS-Ligen und daraufhin in der breiten Masse eingeführt wurde und es die ersten Private Hacks gab. Während sich die Zahlen dort noch im sehr niedrigen zweistelligen Bereich bewegten, erschien die erste„richtig große Bustnews“ im Oktober 2006, als ich gerade von meinem längeren Chinaufenthalt wiederkam, wo ich das System von dynamischen Detection-Updates, die unbemerkt auf den Rechner des Users gestreamt werden, entwickelt hatte und uns ein sehr großer Schlag gegen den ersten öffentlichen Aequitas-Hack gelang. Es handelte sich dabei um den AequiHack von Zaubermicha, einem ring0/ring3 Hybridhack, dessen Anti-Aequitas/Anti-Screenshot-Komponente im ring0 lief, während der Hack selbst ein relativ normaler ring3 Hack und somit prinzipiell leicht zu detecten war.

Von Anfang an stellte sich nun die Frage, wie man mit diesen Leuten öffentlich umzugehen hätte.

Einfach kommentarlos sperren? Nein, die Erfolge wollen ja auch irgendwie präsentiert werden.

Einen Pranger errichten und direkt auf die Accounts verlinken? Ungutes Gefühl. Das wären einerseits mittelalterliche Verhältnisse (viele Gästebucheinträge bei enttarnten Cheatern waren einfach mal unter aller Sau) und andererseits würde das besagten Spielern bzw. Accounts viel zu viel „fame“ einbringen. Obwohl wir so in der allerersten News noch verfahren sind, schlug ich später vor eine leicht anonymisierte Liste zu veröffentlichen, bei welcher nur die Nicknames, zusammen mit einer leicht unkenntlich gemachten ESL-ID, aufgelistet werden.

Und so sieht es bis heute aus, mit dem einzigen Unterschied, dass die letzten drei Stellen der ESL-ID anscheinend nicht mehr per „xxx“ sondern per „***“ gestrichen werden. (Bei den allerersten News waren es noch die ersten drei Stellen, in den Folgejahren aber immer die letzten Drei)

Zusätzlich stellte sich immer wieder die Frage, wie viel Information man preisgeben sollte.

Anfangs war ich der Überzeugung nicht mal Begriffe wie ring0 etc. zu nutzen, da dies unwissenden Usern, die aber dennoch gerne mal cheaten wollen, nur die richtigen Suchbegriffe aufzeigen würde. Vor allem aber das Nennen einzelner Cheatcoder oder gar Hacknamen war absolutes Tabu.

… dieser Gedanke wurde jedoch durch die Kommentarfunktion direkt zunichte gemacht …

Unabhängig davon bestand ich aber auch darauf, auf genauere Informationen zu verzichten, da man daraus hätte genauer ableiten können, welche Hacks und vor allem welche Techniken noch undetected sind, sodass so manch geldgeiler Coder nicht Monat für Monat sinnlose Updates herausgebracht hätte, die man ohne große Modifikation der Detections einfach wieder erwischen konnte.

Der Wissensvorsprung ist in diesem „Business“ nun einmal alles!

Dummerweise war dies den Usern egal – sie wollten Namen, sie wollten Genugtuung … Vergeltung …

Schließlich wurde uns vorgeworfen wir wären gegen reine ring0-Hacks machtlos, was wir Ende 2007 dann einfach mal widerlegen mussten. Interessant ist hierbei die Tatsache, dass Aequitas eines der ersten Anti-Cheat Tools war, welches mit konkreten Hack-Detections im ring0 ausgestattet war. Eine Information, die über Jahre hinweg von einem Großteil der Cheatcoder nicht einmal bemerkt und stattdessen einfach ignoriert wurde. Wenn ich mich recht erinnere, war der im letzten Artikel erwähnte Cheatcoder Inliferty einer der Ersten, wenn nicht sogar lange Zeit der Einzige, der den Aequitas-Treiber bemerkte. Zum Glück – und hier zeigt sich, dass eine guter Kontakt zu Cheatcodern für einen AC-Coder durchaus sinnvoll sein können – behielt er es größtenteils für sich!

Zusätzlich interessant erscheint mir heute die Art der Formulierungen. Von „ring0 Hacks“ war immer noch nicht die Rede – stattdessen gab es diese obskuren Anspielungen zum Beispiel im Titel.

Ende 2008 und vor allem 2009 wurde es dann für die alte Aequitas-Technik eng. Viele Altlasten aus dem Visual Basic Unterbau machten einen kompletten Rewrite nötig und eigentlich wollte man eh nur noch eine einzige Oberfläche, nämliche ESL Wire haben. Da nun durch meine Arbeit an Aequitas 2 weitere Detection-Updates fehlten, Aequitas aber immer noch eine soliden „Grunddienst“ verrichtete, änderte sich das Gesicht der Bustnews.

Dazu muss man wissen, dass das alte Aequitas auch ohne spezielle Detections Hacks erkennen konnte, über den guten alten Prozess- und Modullistenscan – ein Klassiker, der schon seit Jaaaaaahren von quasi allen (generischen) AC-Tools benutzt wird. Zusammen mit einer gut gepflegten Blacklist erwischt es so pro Monat locker mittlere zweistellige Nutzerzahlen.

Ein weiterer wichtiger Faktor war die relativ ausgereifte Fakeaccount-Detection, die doch über das hinaus ging, was einige billige Fakeaccount-Tutorials berichteten. Durch dieses effektiv arbeitende System wurden pro Monat 200-300, von gesperrten Cheatern neu erstellte, Accounts aufgedeckt und sehr zeitnah gelöscht.

Irgendwann entstand nun die Idee, dass man diese solide Kernarbeit einfach regelmäßig in einer Bustnews verkaufen könne, um die Moral der User zu heben. Nützlich war hierbei natürlich, dass wir uns vorher nie genauer zu den erwischten Hacks geäußert haben, sodass man die Zahlen gut verkaufen konnte. Ich muss sagen, dass ich davon anfangs überhaupt kein Fan war, da es nun mal die Detection-Arbeit irgendwie abwertete. Während es früher User zum Teil mit teuren Einzelanfertigungen erwischt und in die Bustnews gebracht hat, waren es nun fast ausschließlich billige Public-Hack-User.

… aber der gemeine User wollte irgendeine Art von Erfolg sehen …

Und so verkam die einst heiß erwartete und gefeierte Bustnews zu einer Ansammlung von ausländischen Billig-Cheatern, die sich immer noch wundern, was dieses „ESL“ überhaupt ist, wo sie doch nur kurz mal nen Cup/Gather zocken wollten …

Aber kommen wir zur aktuellsten News mit dem einfachen Titel "ESL Wire schlägt zu: Weitere 346 Cheater erwischt!“ und beginnen mit der Analyse.

Die Zahl an sich klingt schon mal gut – besser natürlich, als alles was Aequitas geliefert hat – muss auch, da jetzt auch Gather geschützt werden. Rückschritte darf es schließlich nicht geben und so werden im ersten Absatz auch gleich weitere tolle Zahlen geliefert.

Wenn man nun zum denkenden Teil der Bevölkerung gehört, würde man sich über eine genauere Einordnung der Zahlen freuen und hofft im nächsten Absatz Informationen zu finden.

Aha, „346 Cheater in knapp 1,5 Monaten“, „10 Cheater pro Tag“. Oh sie nennen Herrn Organner beim Namen, der Glückliche. Eine teure Spezialanfertigung soll es auch erwischt haben. Gut gut, dies sei alles den Entwicklern zu verdanken (Ist es! Aber das ist irgendwie logisch?!) - nun noch schön auf Premium verweisen und dann geht es los mit der Liste im bekannten Stile. Nungut, bei dieser schamlosen Premiumwerbung mögen manche vielleicht heulen, aber ich finde das okay. Ein einzelner guter Entwickler kostet nun mal pro Monat schon ne ganze Stange Geld. Wenn man dann ein ganzes Team und Technik hat, entstehen da monatliche Beträge wie bei einem kompletten Unternehmen.

So richtig viel schlauer ist man jetzt trotzdem noch nicht und ich möchte euch erzählen warum.

Will man die Performance des Anti-Cheat Tools messen, so muss man eine umfangreiche Statistik anlegen.

Bei jedem einzelnen Bust ist zuerst wichtig welcher Hack erwischt wurde. War es ein Public Hack? War es ein normaler Private Hack? War es ein Private Hack in geringer Stückzahl? Oder war es sogar eine Einzelanfertigung? Die Wertigkeit nimmt da natürlich zum Ende hin zu.

Dann stellt sich als nächstes die Frage um was für einen Account es sich handelt. Reden wir hier von einem Bulgaren, der die ESL nicht kennt, nur einen Cup oder Gather zocken wollte und da ein bisschen mit nem Public Hack seinen Spass haben und den der Anderen verderben wollte?

Oder ist es immerhin ein frischer Trusted-3 Account, der aber ziemlich nach zwielichtiger Internetgestalt aussieht, ein bisschen Geld für einen Private Hack ausgegeben hat und diverse Teams in den Ranks hochjagen wollte?

Oder ist es gar ein älterer Account von jemandem, der sich als E-Sportler sieht, Kandidat für eine Pro Series war, einen bekannten Namen hat und dementsprechend vorsichtig bei der Auswahl des Hacks war, so dass nur ein Custom Hack in Frage kam?

Ihr seht, die Wertigkeit des Hacks (Public, Private/VIP, Custom) und die Wertigkeit des Accounts (Trusted-Status, Premium-Status, Alter, Image, Teams) spielen bei der Bewertung eine absolut entscheidende Rolle!

Wertlose Fakeaccounts von ohnehin wertlosen vercheateten Originalaccounts müssen selbstverständlich zügig gelöscht werden und es ist absolut löblich, dass dieses System bei Wire Anti-Cheat weiterhin ausgebaut und verbesset wurde, aber daraus eine hohe Zahl zu konstruieren und sie als großen Erfolg zu verkaufen … das hat mir damals nicht gefallen und das sagt mir auch heute noch nicht zu.

Nun war ja auch die Rede von Private Hacks und sogar einer Einzel-/Spezialanfertigung.

Ich habe mich da ein wenig erkundigt und es hat bei den Private Hacks nur Leute erwischt, die ihre erkauften Hacks trotz eindeutiger Warnung der Coder bei Wire nutzen mussten. Immerhin gibt es kaum einen bekannten Coder, der ernsthaft behauptet seine Private Hacks wären WAC-Proof.

Bei der Spezialanfertigung handelt es sich Gerüchten zufolge um das Ares-Overlay von aVitamin. Ein Overlay, welcher die Hack-Visuals nicht auf „normalem“ Wege zeichnet, ist nicht auf Screenshots sichtbar und schafft dies ohne, dass er irgendeine Komponente manipulieren müsste (wie z.B. eine extra Anti-Screenshotfunktion, welche die Visuals immer dann ausschaltet, wenn ein Screenshot vom AC angefertigt wird). Dummerweise besteht der Hack aber weiterhin aus „normalem“ Code, welcher anscheinend nicht wirklich oder nicht gut genug gegen die Routinen von WAC geschützt wurde – was allerdings auch extrem schwierig ist.

Fazit:

Ohne eine genaue Statistik seitens der ESL ist und bleibt diese Art von Bustnews ziemlich ohne Aussage und Wert.

Wire Anti-Cheat ist definitiv eines der besten AC-Tools weltweit. Von den generischen AC-Tools möglicherweise sogar das Beste!

Ich verstehe absolut, dass man diese Tatsache positiv verkaufen möchte – die Anerkennung haben die Entwickler (wobei ich mich da offen gestanden für einen Teil der Planungsphase und Konzeption mit hinzuzähle, zumal auch einiges aus Aequitas-Zeiten übernommen wurde) auch absolut verdient.

Man muss aber eben auch sagen, dass Wire zur Zeit keine ernstzunehmenden Gegner hat, da es von Anfang an mit sehr guten Techniken ausgestattet wurde.

Das war bei den ersten Bustnews von WAC anders ([1] [2]) – da hat es die Hacks von x22 sehr schön erwischt und jeder wusste es, auch wenn man wenig über die Wertigkeit der Accounts aussagen konnte. Auch bei den großen Aequitas-Busts waren die Gegner immer recht öffentlich und es wurde schnell bekannt, wenn es dann sogar EPS-Anwärter oder gar ENC-Teilnehmer gepackt hat.

So gesehen befindet sich die ESL in einem Dilemma – sie hat eines besten AC-Tools aller Zeiten, aber es fehlen die „Gegner“, so dass man sich nur noch über eher sinnlose Zahlen und das sinnlose Aufbauen von Möchtegerngegnern profilieren kann. Das ist Schade. Vielleicht wäre es jetzt einmal Zeit für mehr Transparenz, da man sich in einer sehr komfortablen Position befindet.
Zusätzlich muss man aber auch einmal Kritik an der E-Sportszenepresse äußern, welche es bisher versäumt hat wirklich harte Fragen in Richtung der ESL zu stellen, nachzuhaken, was sich hinter den Zahlen verbirgt und eventuell mangelnde Transparenz zu kritisieren.