FP 베이스라인 — 오탐 방어

스캐너 히트가 정상 소프트웨어와 겹칠 때, 치트로 결론 짓기 전에 확인하는 기준표다. 이 표에 해당하면 실행 흔적(PF/BAM/USN)을 추가로 확인한 뒤 판정한다.

사용법

스캐너 히트나 수동 이상이 들어오면 이 표를 먼저 본다.

1. FP 패밀리에 해당하면 Prefetch·BAM·USN 실행 흔적이 나오기 전까지 판정을 올리지 않는다.
2. FP로 결론 내더라도 증거 패키지에 히트를 남긴다. 조용히 버리면 안 된다.
3. 같은 소프트웨어의 낮은 히트가 여러 개면 묶어서 FP로 기록하되 개별적으로 무시하지 않는다.
4. "FP다"는 판정이 아니라 "정상 설명이 성립한다"는 검토 결과다. 설명이 성립하지 않으면 FP가 아니다.

각 열의 뜻: 왜 정상인가는 그 소프트웨어가 존재해도 되는 이유, 왜 히트가 뜨나는 스캐너·검사자가 걸리는 표면 신호, 구별법·추가 증거는 정상 설명을 실제로 검증하는 절차다.

Ring3 FP 패밀리

오버레이·화면 캡처

이 패밀리는 "게임 프로세스에 무언가를 주입한다"는 행위 자체가 정상 기능이다. 구별의 열쇠는 벤더·서명·설치 맥락이다.

소프트웨어	왜 정상인가	왜 히트가 뜨나	구별법·추가 증거
NVIDIA Overlay (NVIDIA App · GeForce Experience)	NVIDIA GPU 사용자의 표준 오버레이	게임 프로세스 주입, 후킹	NVIDIA GPU + NVIDIA App 또는 GeForce Experience 설치 확인. 주입 DLL이 벤더 서명·벤더 경로인지
AMD Radeon Software 오버레이	동일, AMD판	동일	AMD GPU 여부. 서명·경로
Discord 오버레이	보이스 챗의 표준 기능	게임 프로세스 주입	Discord 설치·로그인 여부. Discord 계열 모듈명
OBS Studio / Streamlabs / XSplit	방송·녹화의 표준 도구	캡처 훅, 가상 카메라 드라이버	방송 이력 또는 설치 여부. OBS 씬·프로필 존재
NVIDIA Broadcast / RTX Voice	오디오·영상 처리	오디오 주입, 가상 장치	NVIDIA GPU + Broadcast 설치

NVIDIA는 2024-11-12에 NVIDIA App을 정식 출시하면서 GeForce Experience 기능 이전을 마쳤다고 발표하고 업그레이드를 권했다. 업그레이드하지 않은 PC에는 GeForce Experience가 그대로 있으므로 둘 중 어느 쪽이든 정상 설치로 본다.

OBS가 캡처카드 입력을 창으로 띄워 쓰는 구성은 DMA FP와 겹칠 수 있다. 단독으로 판단하지 말고 DMA 체크와 교차한다. 방송 소프트웨어가 있어도 "스트리머니까 무조건 정상"은 아니다. 캡처 대상이 게임 화면인지 외부 장치인지를 본다.

RGB·주변기기

이 패밀리는 저수준 하드웨어 접근이 필요해 커널 드라이버·후킹·무서명 헬퍼를 동반한다. 구별의 열쇠는 장치가 실제로 연결돼 있는가다.

소프트웨어	왜 정상인가	왜 히트가 뜨나	구별법·추가 증거
iCUE (Corsair)	Corsair 장치 관리	커널 후킹, USB HID 접근	Corsair 장치 연결 여부
Synapse (Razer)	Razer 장치 관리	커널 드라이버, 후킹	Razer 장치 여부
G HUB / LGS (Logitech)	Logitech 장치 관리	동일	Logitech 장치 여부
ASUS Armoury Crate	ASUS 보드·주변기기 관리	커널 드라이버(ACPI.sys 계열)	ASUS 보드·장치 여부
SignalRGB / OpenRGB	서드파티 RGB 제어	하드웨어 직접 접근	RGB 장치 목록과 교차
MSI Center / Dragon Center	MSI 하드웨어 관리	RTCore64.sys 포함	MSI 보드·GPU 여부, Ring0 FP 참조
벤더 펌웨어 업데이터 (Logitech·Razer 등)	정식 업데이트 도구	스캐너 룰의 "flash" 문자열에 히트	치트 플래시 증거로 취급 금지. 벤더·서명·설치 시각 확인

RGB 소프트웨어에 매크로 기능이 있으면 Macro 카드에서 바인딩을 확인한다. RGB와 매크로는 분리해서 본다. 매크로 기능이 있는 SW가 설치돼 있어도 구성된 매크로가 없으면 기능이 있을 뿐 사용 흔적은 아니다.

게임 런처·안티치트

소프트웨어	왜 정상인가	왜 히트가 뜨나	구별법·추가 증거
Steam	게임 플랫폼 표준	업데이트·DLC 실행, 오버레이	게임 설치 여부
Epic Games Launcher	동일	동일	해당 게임 설치 여부
Riot Client	Riot 게임 표준	Vanguard 커널 드라이버	Riot 게임 설치 여부
Battle.net / Xbox	Blizzard·MS 게임 표준	런처·오버레이	해당 게임 설치
BattlEye (bedaisy.sys)	안티치트	커널 드라이버	게임 설치 + 버전 서명
Easy Anti-Cheat (EasyAntiCheat.sys)	동일	동일	해당 게임 설치 여부
Vanguard (vgk.sys)	Riot 안티치트	커널 드라이버	VALORANT 설치 여부
mhyprot2.sys (MiHoYo)	MiHoYo 게임 안티치트	커널 드라이버, LOLDrivers 등재	MiHoYo 게임 설치 여부 + 아래 주의
xhunter1.sys (XIGNCODE3)	일부 한국 온라인 게임 안티치트	동일	해당 게임 설치 여부
nProtect GameGuard (INCA Internet)	온라인 게임 클라이언트 변조·비인가 도구를 막는 게임 보안	서비스·드라이버, 스피드핵·매크로·후킹·디버깅 탐지	해당 게임 설치 여부. 게임 폴더 아래 GameGuard 폴더와, 게임을 켤 때마다 새로 생기는 로그(npgg.erl 등 .erl 파일)의 시각
Nexon Game Security (BlackCipher)	넥슨 게임의 보안 모듈	게임 폴더 안 BlackCipher 폴더의 .aes 모듈과 NGService.exe	해당 넥슨 게임 설치 여부. 넥슨 공식 안내가 실행 오류의 해결 방법으로 이 폴더를 Defender 제외 항목에 넣게 하므로, 이 경로의 Defender 예외는 정상 설명이 있다

안티치트 드라이버는 해당 게임이 설치돼 있으면 정상이다. 게임 없이 드라이버만 있으면 Ring0 신호다. 로드 시각이 게임 세션과 정렬되는지까지 본다. 예외가 하나 있다. GameGuard는 다른 GameGuard 적용 게임과 함께 쓰이므로 게임을 지워도 서비스와 드라이버 파일이 남을 수 있다고 제조사 FAQ가 밝힌다. GameGuard 드라이버만 남은 PC는 과거 설치 이력(Prefetch, 남은 게임 폴더)을 먼저 본다.

보안·개발 도구

소프트웨어	왜 정상인가	왜 히트가 뜨나	구별법·추가 증거
Process Explorer / System Informer	DFIR·디버깅 표준 도구. 검사자 본인이 쓰기도 한다	디버거 문자열, 프로세스 접근 기능	조직 승인 도구 목록. 사용자 소유인지 검사자 도구인지
Wireshark / Npcap	네트워크 분석 표준	패킷 캡처 드라이버	네트워크 분석 맥락·설치 시각
Python / Node.js / MSYS2	개발 환경	무서명 바이너리, 임시 경로	개발 환경이면 메타에 기록
Visual Studio / CMake	개발 환경	무서명 빌드 산출물	개발 환경

개발 환경은 노이즈가 많다. 메타에 "개발 머신"을 기록하고, 무서명 바이너리가 나와도 맥락에서 판단한다. 개발 도구의 존재 자체는 신호가 아니고, 그 도구로 만든 산출물이 게임 세션에 실행됐는지가 질문이다.

한국 PC 환경

한국의 인터넷 뱅킹·공공 사이트는 로그인 전에 보안 프로그램 설치를 요구한다. 은행 사이트 하나가 보통 다섯 개 안팎을 요구하고 사이트마다 조합이 달라서, 한 PC에 여러 제조사의 프로그램이 함께 깔린다. 이 프로그램들은 키 입력 보호용 커널 드라이버, 브라우저와 통신하는 로컬 웹 서버, 입력 가로채기와 프로세스 보호 기능을 가져 스캐너 히트, 모듈 목록, 드라이버 목록에 걸릴 수 있다. 구별의 열쇠는 설치 목록·제조사 서명·금융 사이트 사용 맥락이다.

소프트웨어	왜 정상인가	왜 히트가 뜨나	구별법·추가 증거
nProtect Online Security (INCA Internet)	공공·금융 사이트용 통합 보안(키보드 보안·개인 방화벽·백신)	키 입력을 실시간으로 암호화하고 커널 수준 키로거를 감지·차단한다. 허용하지 않은 프로세스의 메모리 접근·쓰기와 디버깅 프로그램을 막고, 프로세스 강제 종료를 막는다	설치 목록·서명·금융 사이트 사용 맥락. 검사 도구가 메모리를 읽지 못하거나 차단되면, 조작으로 읽기 전에 이 제품이 실행 중인지 본다
TouchEn nxKey (RaonSecure)	키보드 입력을 암호화하는 키보드 보안	비밀번호 칸에서 활성화되면 커널 드라이버가 모든 키 입력을 가로채 앱으로 넘긴다. 도우미 CKAgentNXE.exe가 합성 키 입력(SendInput)을 보낸다. 드라이버와 통신하는 TKAppm.dll은 Themida로 난독화돼 있다	설치 목록·서명·금융 사이트 사용 맥락
IPinside LWS Agent (Interezen)	은행 사이트가 부정 거래 방지용 "실제 IP" 확인을 위해 요구	로컬 웹 서버(localhost:21300)를 열고 실행 중인 프로세스 목록, 디스크 일련번호, MAC 주소 같은 정보를 모은다	설치 목록·서명·금융 사이트 사용 맥락
Veraport (Wizvera)	사이트가 요구하는 보안 프로그램을 한꺼번에 설치·갱신하는 관리 도구	관리자 권한으로 돌며 다른 설치 파일을 내려받아 실행한다. 로컬 웹 서버(127.0.0.1:16106)를 연다	설치 목록·서명. 여러 보안 프로그램이 짧은 간격으로 설치된 흔적은 이 도구의 통합 설치로 설명될 수 있다
AhnLab Safe Transaction (AhnLab)	은행 사이트가 설치를 요구하는 보안 프로그램	평소 상주하다가 은행 사이트에서 활성화된다. 자체 루트 인증서(ASTxRoot2)를 시스템에 추가한다	설치 목록·서명, 은행 사이트 사용 시각과 활성 시각의 정렬

TouchEn nxKey(iniLINE CrossEX RootCA2), IPinside(INTEREZEN CA), AhnLab Safe Transaction(ASTxRoot2)은 자체 루트 인증서를 시스템 신뢰 목록에 추가한다. 2023년 분석에서는 프로그램을 지워도 인증서가 남았으므로, 신뢰 루트 목록의 해당 인증서는 과거 설치의 흔적으로 읽을 수 있다. 이 패밀리의 드라이버나 모듈이 목록에 나와도 판정을 올리지 않는다. 제품 서명이 없거나 제품 설치 경로 밖에 있고, 실행 흔적이 게임 세션과 정렬될 때만 리드로 올린다.

PC방과 공용 PC

PC방 PC는 가정용 PC와 기준선이 다르다. 검사 대상이 PC방이나 공용 PC인지는 표준 절차의 사전 조건에서 확인한다.

복원 솔루션. PC방 PC에는 순간복구 프로그램이 흔히 깔린다. 자동 복구로 설정하면 PC를 껐다 켤 때마다 디스크가 저장 시점으로 돌아가고, 매장 카운터에서 손님 PC의 복구를 원격으로 실행할 수도 있다. 복구되면 그 뒤에 생긴 Prefetch·USN·레지스트리 기록도 함께 사라지므로 "너무 깨끗함"이 이 PC의 정상 상태다. 복구에서 제외한 폴더만 기록이 이어지는 구성도 있다.

여러 사용자. 복구 전까지는 앞선 손님들의 흔적이 같은 디스크에 섞인다. 흔적을 대상자에게 귀속하려면 매장의 좌석 이용 시각과 맞춘다.

관리 프로그램. 매장 서버와 카운터가 손님 PC의 전원, 복구, 게임 패치를 원격으로 관리한다. 프로세스·서비스 목록의 관리 에이전트는 정상이다.

선설치 게임. 매장이 여러 게임을 미리 설치하고 패치해 두므로 안티치트 드라이버가 여러 개 있는 것이 정상이다. "게임 없이 드라이버만 있으면 Ring0 신호"라는 규칙은 매장에 설치된 게임 목록과 대조한 뒤에 적용한다.

제보된 세션이 PC방에서 있었고 그 PC가 이미 복구됐다면, 그 세션의 흔적은 디스크에 남아 있지 않다. 그 사실을 적고 해당 축은 Insufficient로 둔다.

클라우드 동기화

소프트웨어	왜 정상인가	왜 히트가 뜨나	구별법·추가 증거
OneDrive	Windows 기본 동기화	USN 파일 폭풍	동기화 이벤트 타임라인
Dropbox / Google Drive	동일	동일	동기화 이벤트 타임라인

USN에서 파일 폭풍이 보이면 동기화 타임라인과 대조한다. 스캐너보다 USN 쪽 FP가 더 흔하다. 동기화 폴더 안의 파일 변경은 원격 삭제·생성을 반영할 수 있다.

Windows·.NET

히트 패턴	왜 정상인가	왜 히트가 뜨나	구별법·추가 증거
*.tmp (사용자 경로)	설치·업데이트·앱의 일시 파일	경로 휴리스틱	일시 파일 용도 확인, 부모 프로세스
ClickOnce / Store stub	정식 배포 방식	무서명·임시 경로 형태	설치된 앱과 대조

압축 프로그램

소프트웨어	왜 정상인가	왜 히트가 뜨나	구별법·추가 증거
WinRAR 최근 목록 (HKCU\Software\WinRAR\ArcHistory)	WinRAR로 다룬 압축 파일의 경로가 최근 순으로 남는다	목록의 이미지·문서 확장자 항목을 "이미지 속 실행 파일" 은닉 신호로 표시하는 SS 도구가 있다	목록의 파일을 찾아 실제 형식을 확인한다. JAR는 ZIP 기반 형식이고 ISO도 WinRAR가 여는 형식이다. 항목마다 시각이 없고 키의 마지막 기록 시각은 가장 최근 변경 하나만 가리키므로, WinRAR와 안쪽 실행 파일 이름의 Prefetch·BAM이 제보 시간대에 겹치는지 교차한다

목록에 압축 파일이 있다는 것은 WinRAR를 썼다는 기록일 뿐이다. 이미지·문서 확장자 항목도 히트만으로 은닉을 판정하지 않는다. 그 안에서 풀려 실행된 파일의 실행 흔적이 다른 축에 있어야 리드가 된다.

Community. 이미지나 문서 안에 실행 파일을 넣고 WinRAR로 열어 꺼내는 방식을 다루는 SS 가이드가 있다. 그 가이드는 ArcHistory의 비압축 확장자, 임시 폴더에 풀린 실행 파일, WinRAR와 안쪽 실행 파일의 Prefetch를 함께 보라고 권한다.

우회 신호의 정상 설명

아래 항목들은 스캐너 히트가 아니라 상태·설정 관찰로 들어온다. 각각 단독으로는 정상 설명이 성립해 FP가 되므로, 우회 시그널 열에 해당하고 다른 축과 교차가 있을 때만 리드로 올린다.

항목	정상 범위	우회 시그널	구별법·추가 증거
FAT32·exFAT 볼륨	USB·SD 카드의 표준 파일시스템. 저널이 없는 것이 정상	최근 포맷된 내장 VHD, 제보 시간대와 겹치는 신규 마운트	물리 이동식 매체와 VHD를 구분한다(SetupAPI·MountedDevices·.vhd 파일 존재). 포맷·마운트 시각을 제보 시간대와 교차
유니코드·비ASCII 파일·폴더명	한국어·일본어 등 정상 이름도 비ASCII	공백류 코드포인트·소문자 변형 문자 같은 회피용 명명. 정상 환경에서는 거의 나타나지 않는다	정상 언어 이름인지, 육안으로 읽기 어려운 코드포인트인지 구분. 회피용 코드포인트만으로 된 이름은 정상 설명이 거의 없다
OneDrive Personal Vault	OneDrive 사용자의 정상 보관 기능	제보 시간대에만 Vault 해제·파일 유입, 동기화 로그와의 불일치	Vault 잠금·해제 이벤트와 OneDrive 동기화 타임라인. "Vault 안은 저널에 안 남는다"는 주장은 과장이다. 접근·동기화 이벤트는 남는다
IFEO Debugger 값	개발자가 디버거를 연결하는 정상 기능	치트·게임 이름의 exe에 Debugger가 걸렸거나, Debugger가 정상 프로그램을 가리켜 실행을 위장	Debugger 값의 대상과 설정 시각. 개발 바이너리에 걸린 디버거와 구분
PSReadLine 설정·히스토리 부재	HistorySaveStyle 변경·히스토리 정리는 정상 사용자 설정	$PROFILE에서 히스토리 저장 경로·저장 방식을 끈 변경, PowerShell 사용량(PF·BAM)과 히스토리 부재의 불일치, 히스토리 파일의 쓰기 deny ACL	프로필 내용과 변경 시각, 파일 ACL. deny 엔트리는 정상 설명이 거의 없다
이벤트 4616(시각 변경)	Windows Time 서비스의 정상 시각 보정(주체 LOCAL SERVICE·프로세스 svchost.exe)	주체가 LOCAL SERVICE가 아니거나 변경 프로세스가 svchost.exe가 아닌 4616, 제보 시간대 직전의 발생	4616의 주체·프로세스 이름을 본다. 정상 보정과 수동 변경은 주체로 구분된다
서비스 비활성 (TabletInputService·SysMain 등)	트윅·성능 목적으로 사용자가 끄는 경우가 있다	기록·로깅과 연결된 서비스만 골라 꺼져 있고 비활성 시각이 제보 시간대 직전	System 7040·7036 이벤트의 시각과 변경 주체, 꺼진 서비스가 남기던 기록 종류
최근 문서 정책·Recent 정리	개인정보 설정으로 최근 항목 기록을 끄는 정상 기능	정책 활성화와 Recent 경로의 접근 차단 ACL이 조합됐거나, 설정 시각이 제보 시간대 직전	정책 레지스트리 값·폴더 ACL 상태와 설정 시각

이 표의 항목이 우회 시그널 열에 해당해도 라벨은 그대로다. 다른 축의 실행·파일 증거와 교차되기 전에는 리드다.

Ring0 FP 클러스터

Ring0 체크에서 LOLDrivers나 서명 이상으로 히트되는 정상 드라이버들이다.

하드웨어 모니터링

드라이버	소프트웨어	FP 이유	확인
WinRing0x64.sys	HWiNFO64, HWMonitor, CPU-Z, Open Hardware Monitor	오픈소스 커널 IO 라이브러리, LOLDrivers 목록	해당 프로그램 설치 여부
RTCore64.sys	MSI Afterburner, RTSS (RivaTuner)	오버클럭·모니터링, LOLDrivers 목록	MSI Afterburner 설치·버전
ene.sys	ASUS 보드 일부	ENE Technology RGB 제어	ASUS 보드 + Armoury Crate

RTCore64.sys 판단 흐름:

가상화·VM

드라이버	소프트웨어	FP 이유
vmci.sys, vmx86.sys	VMware Workstation / Player	VM 통신 인터페이스
VBoxDrv.sys, VBoxUSB.sys	Oracle VirtualBox	VM 커널 드라이버
vmbus.sys, vid.sys, vmswitch.sys	Hyper-V	Windows 기본 가상화

VM 드라이버는 HVCI 비활성화와 함께 있을 수 있다. Hyper-V와 일부 VM은 호환 문제로 HVCI를 끄는 경우가 있으므로, 단독으로는 이상 신호가 아니다.

위 표는 검사 대상 PC에 VM 소프트웨어가 설치된 경우다. 검사 중인 OS 자체가 VM 게스트인지는 T+0에 확인한다(표준 절차). 게스트를 검사하면 호스트에 남은 흔적은 보이지 않는다.

팬 제어·전원 관리

드라이버	소프트웨어	FP 이유
Speedfan.sys	SpeedFan	오래된 팬 제어, LOLDrivers 목록
nvlddmkm.sys	NVIDIA	디스플레이 드라이버
AsIO.sys / AsIO2.sys	ASUS 계열	하드웨어 IO 접근

안티치트 자체 드라이버

드라이버	안티치트	게임 예시	LOLDrivers
mhyprot2.sys	MiHoYo	원신, 붕괴: 스타레일	등재 (vulnerable)
bedaisy.sys	BattlEye	PUBG, Rainbow Six Siege	등재 (vulnerable)
xhunter1.sys · xhunter2.sys	XIGNCODE3	일부 한국 온라인 게임	등재 (vulnerable)
EasyAntiCheat.sys	EAC	Fortnite, Rust	미등재
vgk.sys	Vanguard	VALORANT	미등재

게임 설치 확인만으로 종결하지 않는다. 위 셋은 LOLDrivers에 vulnerable로 등재돼 있다. 특히 mhyprot2.sys는 게임과 무관하게 단독 반입돼 보안 제품을 무력화하는 데 쓰인 사례가 알려져 있다.

따라서 게임 설치 여부는 1차 필터일 뿐이다. 다음을 함께 본다.

1. 해당 게임이 실제로 설치·실행됐는가(PF·BAM 교차)
2. 드라이버 로드 시각이 게임 세션과 정렬되는가. 게임을 안 켠 구간의 로드는 신호다
3. 서비스 생성·삭제 이벤트(7045)가 게임 설치 시점과 맞는가
4. 드라이버 경로가 게임 설치 경로 또는 System32\drivers인가

게임 미설치 상태에서 해당 드라이버가 존재하면 FP가 아니라 Ring0 신호다.

nProtect GameGuard와 Nexon Game Security는 2026-09 기준 LOLDrivers에 제품·제조사 이름으로 등재된 드라이버가 없다.

보안 프로그램 드라이버

드라이버	소프트웨어	FP 이유	확인
ATHpExNt.sys	AhnLab 보안 제품	LOLDrivers에 취약 드라이버로 등재(2026-03-20)	AhnLab 제품 설치 여부, 서비스 생성 시각

제품이 설치된 PC의 이 드라이버는 FP로 기록한다. 제품이 없거나 서비스 생성 시각이 게임 세션 직전이면 BYOVD 리드로 올린다.

SS 도구 잔재

드라이버	소프트웨어	FP 이유	확인
echo_driver.sys	Echo SS 스캐너 (Inspect Element Ltd.)	이전 SS에서 설치된 스캐너 드라이버. LOLDrivers에 취약 드라이버로 등재(2023-07-14). 관련 CVE-2023-38817은 제작사가 이의를 제기한 CVE다	설치·서비스 생성·로드 시각을 이전 SS 일시와 대조

이전 SS의 스캐너 드라이버는 Ring0 FP이면서 BYOVD 후보다. 설치·로드 시각이 이전 SS 일시와 맞고 그 뒤 로드 기록이 없으면 잔재로 기록한다. 이전 SS 기록이 없는데 드라이버가 있거나 SS와 무관한 시각, 특히 게임 세션 직전에 로드됐으면 Ring0 리드로 올린다. 검사자는 세션을 닫을 때 설치한 드라이버를 지웠는지 기록해 다음 검사의 혼선을 줄인다(표준 절차).

DMA·환경 FP

항목	FP 이유	확인
캡처카드 (Elgato HD60, AVerMedia)	방송·녹화	OBS 설치 + 방송 채널
eGPU (Thunderbolt)	Thunderbolt PCIe 장치	Thunderbolt 포트 + eGPU 제품
TeamViewer / AnyDesk	원격 지원, 재택근무	업무 맥락·가족 지원 이력
Parsec / Sunshine	홈 게임 스트리밍	수신 기기 존재
VM 가상 NIC	VMware / VirtualBox 네트워크	VM 소프트웨어 설치
IOMMU / Kernel DMA Protection 꺼짐	구형 보드 또는 BIOS 미지원	보드 모델 확인

이 항목들은 존재 자체가 이상이 아니라 "2PC 구성과 호환되는가"의 맥락이다. 캡처카드·Parsec은 정당한 스트리밍 구성이면서 동시에 DMA 의심과 겹치는 물리 조건이므로, 환경 노트로 분리해 기록한다.

흔한 실수

• 무서명 DLL 하나로 Confirmed를 내린다.
• 클리너 도구 이름만 히트했는데(와이프 증거 클러스터 없이) Confirmed로 올린다.
• IOMMU·HVCI 꺼짐 단독으로 Confirmed나 Suspicious를 준다.
• LOLDrivers 히트 단독으로(FP 배제 전에) Confirmed를 내린다.
• FP로 결론 내고 증거 패키지에서 삭제한다. 기록은 남긴다.
• RGB 소프트웨어 전체를 이상 신호로 기록한다.
• 벤더 펌웨어 업데이터의 "flash" 히트를 치트 플래시로 읽는다.
• 금융·키보드 보안 프로그램의 드라이버와 모듈을 치트 드라이버로 읽는다.
• PC방 PC의 "너무 깨끗함"을 안티포렌식으로 읽는다.
• 이전 SS가 남긴 스캐너 드라이버를 이번 제보의 Ring0 증거로 읽는다.

증거 언어

FP로 결론 낼 때 증거 패키지에는 이렇게 쓴다.

"[소프트웨어명] 히트: FP 베이스라인 '[패밀리]'에 해당. [소프트웨어] 설치 확인됨. PF/BAM/USN 실행 흔적 없음. → Insufficient/FP. 스캐너 export 첨부."

Ring0 FP일 때는 이렇게 쓴다.

"RTCore64.sys 발견: MSI Afterburner [버전] 설치 확인됨. 서비스 생성 타임라인: [날짜] (게임 세션 외). FP로 처리. → 증거 08-escalation/drivers-list.txt 첨부."

FP 판정에도 스캐너 export·설치 확인·실행 흔적 부재의 세 가지가 필요하다. "평소에 아는 프로그램"이라는 설명은 증거가 아니다.

Community 커뮤니티에서는 GPU 오버레이, RGB 소프트웨어, MSI Afterburner의 RTCore64.sys가 스캐너 FP의 대부분을 차지한다고 보고한다. 스캐너 벤더의 룰 이름(Echo, Ocean 등)은 불투명한 단서이므로 경로와 타임라인으로 직접 재검증해야 한다.

Sources

• FACEIT 지원 (플랫폼 환경 요구) · BattlEye · Easy Anti-Cheat (안티치트 드라이버 정체) · MS HVCI · MS Kernel DMA Protection (환경 항목)
• LOLDrivers (vulnerable 등재 여부) · xhunter1.sys · xhunter2.sys · ATHpExNt.sys · echo_driver.sys
• NVD: CVE-2023-38817 (2023-10-11, disputed)
• NVIDIA: NVIDIA App Officially Released (2024-11-12)
• Wladimir Palant: South Korea's online security dead end (2023-01-02) · TouchEn nxKey (2023-01-09) · IPinside (2023-01-25) · Weakening TLS protection (2023-02-06) · Intermediate conclusions (2023-02-20) · Veraport (2023-03-06)
• INCA Internet: nProtect Online Security · nProtect GameGuard · GameGuard FAQ 게임가드 삭제 · GameGuard FAQ erl 파일
• 넥슨 퍼스트 디센던트: 게임 설치, 실행이 원활하지 않다면? (BlackCipher 폴더 구성·Defender 제외 안내)
• 이노소프트: 하드보안관9 · PC방닷컴: 피카툴즈 순간복구 · 게임포커스: 미디어웹 PC 복구 및 관리 솔루션시장 공략 박차 (2016-03-24) · 전자신문: 나눔소프트, 1000여 PC방에 무인자동관리 프로그램 보급 (2010-08-30)
• Registry Parser, Application MRUs: Adobe, 7-Zip, WinRAR and MMC history in the registry (2026-06-17) · WinRAR Features · Oracle: JAR File Specification
• MeowResolver README · Schwarzahn Windows-ScreenShare-Tool PLAYBOOK (ArcHistory를 검사하는 SS 도구)

Next

• 판정 → 판정 루브릭
• 스캐너 → Scanner 카드
• 증거 기록 → 증거 패키지