데누보의 하이퍼바이저 우회 관한 지침

오늘 지하동네(G**)에서도 하이퍼바이저의 관한 공지가 올라옴 다른 곳에서도 이것 가지고 몇주 동안 시끌시끌 한데 지금까지 누구하나 안 올리는거 보면 굳이 말 안해도 알겠지만 정리는 해야하니까 말함

What is a hypervisor bypass?

A hypervisor bypass is not a proper crack because it does not actually defeat or disable DRM; it's simply a DRM bypass via kernel. When you use such a crack, Denuvo is still active and running on your PC. The hypervisor method modifies your system to look like the original licensed system the Denuvo key was generated for. In essence, it is tricking Denuvo into thinking your PC is the original owner's PC (the system the Denuvo key was generated for).

하이퍼바이저 우회(Hypervisor Bypass)란?

하이퍼바이저 우회는 실제로 DRM을 무력화하거나 제거하는 것이 아니기 때문에, 엄밀한 의미에서의 **정식 크랙(crack)**은 아닙니다. 대신 커널(kernel)을 이용해 DRM을 우회하는 방식입니다.

이런 방식의 크랙을 사용하더라도 Denuvo 자체는 여전히 활성화되어 있으며 PC에서 계속 실행됩니다.

하이퍼바이저 방식은 시스템을 수정하여, Denuvo가 해당 PC를 원래 라이선스가 발급된 시스템처럼 인식하도록 만드는 것입니다.

즉, 기본적으로는 Denuvo 인증 키가 생성될 당시의 원래 소유자의 PC와 현재 PC가 동일한 시스템이라고 Denuvo를 속이는 것이라고 볼 수 있습니다.

What is a proper crack for Denuvo?

In contrast to the above method, a proper crack (like those made by EMPRESS and voices38) bypasses Denuvo by constant spoofing, such as eliminating constant online validity checking, removal of anti-tamper routines, disabling DRM layers that hog system RAM, etc. As we all know, this is not a simple thing to do.

Denuvo ‘정식 크랙(proper crack)’이란 무엇인가요?

위에서 설명한 방식과 달리, **정식 크랙(proper crack)**은 EMPRESS나 voices38이 만든 것으로 알려진 크랙처럼 **지속적인 스푸핑(spoofing)**을 통해 Denuvo를 우회하는 방식입니다.

예를 들어 다음과 같은 작업이 포함됩니다.

지속적으로 이루어지는 온라인 유효성 검사(online validity checking)를 제거

안티탬퍼(Anti-Tamper) 루틴을 제거

시스템 RAM을 과도하게 점유하는 DRM 계층을 비활성화

그 밖의 Denuvo 관련 보호 기능들을 우회

우리 모두 알다시피, 이런 작업은 간단하게 할 수 있는 일이 아닙니다.

What are the security concerns with hypervisor bypasses?

There are several security concerns with hypervisor bypasses. Among them are the following:
- Execution Level: Unlike traditional cracks, which run in userland, hypervisor bypasses must run at a kernel/hardware level (below Windows OS). These cracks have direct access to your hardware and can do pretty much what they want.
- BIOS Changes: In order to run a hypervisor bypass, you must disable Secure Boot, disable driver signature enforcement and enable CPU virtualization. Disabling driver signature enforcement is particularly problematic.
- Security/Trust: A traditional crack runs in userland, so there are limits to the damage any potentially malicious crack can do. Since a hypervisor bypass needs to run at a hardware level, you are essentially trusting the cracker with full kernel control. With a hypervisor bypass you're trusting random strangers on the internet with the keys to your house and hoping they don't break in and steal everything.

하이퍼바이저 우회에는 어떤 보안 문제가 있나요?

하이퍼바이저 우회에는 여러 가지 보안 문제가 있습니다. 대표적으로 다음과 같습니다.

실행 권한 수준(Execution Level):

일반적인 크랙은 **사용자 영역(userland)**에서 실행되는 반면, 하이퍼바이저 우회는 **커널/하드웨어 수준(Windows OS보다 낮은 수준)**에서 실행되어야 합니다. 따라서 이러한 크랙은 하드웨어에 직접 접근할 수 있으며, 사실상 원하는 거의 모든 작업을 수행할 수 있는 권한을 가질 수 있습니다.

BIOS 변경:

하이퍼바이저 우회를 실행하려면 Secure Boot를 비활성화하고, 드라이버 서명 강제(Driver Signature Enforcement)를 비활성화하며, CPU 가상화(Virtualization)를 활성화해야 합니다. 특히 드라이버 서명 강제를 비활성화하는 것은 상당히 문제가 될 수 있습니다.

보안/신뢰(Security/Trust):

일반적인 크랙은 사용자 영역에서 실행되기 때문에, 악의적인 크랙이라 하더라도 시스템에 가할 수 있는 피해에는 어느 정도 제한이 있습니다. 하지만 하이퍼바이저 우회는 하드웨어 수준에서 실행되어야 하기 때문에, 사실상 크래커에게 커널 전체를 제어할 수 있는 권한을 맡기는 것과 같습니다.

비유하자면, 하이퍼바이저 우회를 사용하는 것은 인터넷에서 만난 모르는 사람에게 집 열쇠를 통째로 맡기고, 그 사람이 집에 침입해서 물건을 훔치지 않기를 바라는 것과 비슷합니다.

How can I keep myself safe when using a hypervisor bypass?

Short answer, you can't. There are some things you can potentially try to help mitigate any risk. You can run it on a spare air-gapped PC that is not used for anything sensitive and contains no personal information; this should help limit the blast radius in the event of malware. You can attempt to run the hypervisor within a VM, but this will likely not work (due to issues with nested virtualization).

하이퍼바이저 우회를 사용할 때 어떻게 안전을 유지할 수 있나요?

짧게 답하면, 안전을 보장할 방법은 없습니다. 다만 잠재적인 위험을 줄이기 위해 시도해 볼 수 있는 방법은 몇 가지 있습니다.

별도의 에어갭(air-gapped) PC에서 실행:

민감한 작업에 사용하지 않고 개인정보가 전혀 들어 있지 않은 별도의 PC에서 실행할 수 있습니다. 이렇게 하면 악성코드가 포함되어 있을 경우에도 피해 범위(blast radius)를 제한하는 데 도움이 됩니다.

가상 머신(VM)에서 실행:

하이퍼바이저 우회를 가상 머신 안에서 실행하는 방법도 시도해 볼 수 있습니다. 하지만 **중첩 가상화(nested virtualization)**와 관련된 문제 때문에 제대로 작동하지 않을 가능성이 높습니다.

따라서 하이퍼바이저(VM Bypass)는 커널을 통해 우회하는 보안 리스크를 동반한 방법으로 이는 데누보 DRM을 무력화 하거나 실제로 우회하는 방법이 아닌 정상적인 크랙 방식으로 볼 수 없으므로 하이퍼바이저 자료는 업로드를 일체 금함