용어집

현장에서 듣거나 로그에서 보는 용어를 찾는 사전이다. 용어 자체는 판정 근거가 아니다. 어떤 단어가 보고서에 등장해도, 라벨을 정하는 것은 아티팩트의 교차다.

판정·절차

표제어	정의	왜 보는가	오인용 경고
핵검사 / 스크린셰어 / SS	동의 하에 검사자가 호스트 PC를 원격으로 조작하며(AnyDesk·TeamViewer 등) 흔적을 검사하는 절차	이 사이트의 전체 대상 활동	화면을 보기만 하는 화면공유가 아님
프리즈 (호출)	검사 대상 플레이어를 게임 안에서 멈추고(이동·명령·상호작용 차단) 검사로 부르는 조치. 도구 카탈로그의 Ocean-Freeze(Minecraft 서버 플러그인)가 프리즈와 PIN 발급을 제공한다	호출 시각부터 원격 접속 시각까지는 정리 시도가 끼어들 수 있는 구간이다. 두 시각을 기록하고 그 구간의 삭제·서비스 변경을 먼저 본다	프리즈 자체는 판정 근거 아님
3-Layer (검사 내부)	파일 → 프로세스 → 메모리 교차 검증	Ring3 검사의 축 구조	한 층 Clean ≠ 전체 Clean
3-Layer (레이어)	Ring3 → Ring0 → DMA/L0 권한 구조	에스컬레이션의 지도	검사 내부 3축과 다른 개념
게이트	다음 레이어로 넘어가는 진입 조건	무계획한 심층 검사 방지	게이트 통과 = Confirmed 아님
Confirmed	독립된 축 2+가 같은 스토리로 수렴, 정상 설명 붕괴	최상위 판정 라벨	스캐너 히트 하나 ≠ Confirmed
Suspicious	유의미 신호 있으나 교차 부족 또는 정상 설명 잔존	부분 증거의 정식 라벨	"거의 확정"으로 쓰지 않음
Insufficient	권한·시간·휘발·도구·동의 범위로 필수 축을 못 닫음	DMA 단독의 기본값	무죄도 유죄도 아님
Clean (조건부)	합의 축 검사 완료 + 게이트 문서화 후 미해당 + 잔여 리드 없음	무죄 선언이 아니라 범위 한정 진술	무조건 Clean이 아님
소결	Ring3 잠정 결론 + 에스컬레이션 게이트 입력	다음 단계의 공식 입력	최종 밴 결정이 아님
에스컬레이션	Ring3에서 Ring0/DMA 게이트로 넘어가는 판단	검사 범위 확장의 통제점	DMA 확정이 아님
lead / 리드	재검증 전 스캐너 히트	다음 조사의 대기열	단독 판정 근거 아님
오탐 / FP	정상 소프트웨어와 겹치는 히트	FP 클러스터로 정리	조용히 버리지 말 것. 증거에 기록
증거 패키지	`evidence/<case-id>/` 구조화 폴더	판정 재현의 물리적 형태	판정 근거 재현을 위해 필수

Ring3 아티팩트

표제어	정의	왜 보는가	오인용 경고
Prefetch	Windows가 실행 파일마다 만드는 `.pf` 캐시	"무엇이 언제 실행됐나"의 1차 표	항상 남지 않음 (SysMain 비활성 시)
USN Journal	NTFS·ReFS 변경 저널. 생성·삭제·개명 기록	삭제된 파일의 복원 경로	FAT32·exFAT에는 없음. 원형 버퍼라 밀려남
BAM	Background Activity Moderator. SID별 마지막 실행 경로·시각	실행의 레지스트리 측 교차	비어 있음 = 미실행 또는 와이프
Amcache	설치·실행 인벤토리 하이브. SHA1 포함	실행 바이너리 식별	ShimCache와 별개
ShimCache	호환성 캐시(AppCompatCache)	경로·파일 존재의 교차	엔트리 = 실행 증명이 항상 성립하지 않음
UserAssist	Explorer 실행 통계. ROT13 인코딩	GUI 실행 카운트	GUI 실행만 기록
LNK	바로가기. 대상 경로·시각·볼륨 시리얼 포함	사용자가 연 파일의 목표 추적	커맨드라인 실행은 LNK 없음
Jump List	Recent 하위 Automatic/Custom Destinations	최근 사용 패턴	열람 기록이지 실행 증명은 아님
$MFT	NTFS 파일 메타데이터 레코드	파일의 마스터 목록	$SI와 $FN 시각 불일치가 timestomp 후보
$I30	디렉터리 인덱스. 삭제 이름의 슬랙 잔존	지워진 파일명 복원	잔존 = 실행 증명 아님
ADS	NTFS 대체 데이터 스트림	숨겨진 페이로드·출처 표시	Zone.Identifier는 정상 다운로드 표시. 그 안의 HostUrl·ReferrerUrl은 다운로드 출처를 가리킨다
Mark of the Web (Zone.Identifier)	인터넷에서 받은 파일에 붙는 `Zone.Identifier` 대체 데이터 스트림. `ZoneId`(보안 영역, 3은 인터넷)와 `ReferrerUrl`(내려받기를 시작한 페이지)·`HostUrl`(파일을 받은 주소)이 들어 있다	파일을 어느 페이지에서, 어느 주소로부터 받았는지가 남아 파일 정체의 근거가 된다. 탐색기로 압축을 풀면 풀린 파일마다 원본 압축 파일을 가리키는 `ReferrerUrl`이 붙는다	필드 구성은 내려받은 프로그램마다 다르다. 스트림은 편집할 수 있는 텍스트라 단독 판정 금지
PCA	Windows 11의 Program Compatibility Assistant 실행 기록 텍스트. `C:\Windows\appcompat\pca\PcaAppLaunchDic.txt`에 탐색기로 실행한 파일의 마지막 실행 시각(UTC)과 전체 경로가 남는다. Windows 11 22H2부터 있다	텍스트 파일이라 바로 읽히고, 실행 파일마다 마지막 실행 시각이 한 줄씩 남는다	콘솔에서 실행한 파일은 기록하지 않는다. PcaSvc 서비스가 실행 중일 때 채워진다. ANSI 인코딩이라 유니코드 이름 파일을 실행한 뒤로는 새 항목이 멈춘다
SRUM	System Resource Utilization Monitor. 앱별 자원 사용과 통신량을 계정(SID)별로 모으는 DB(`C:\Windows\System32\sru\SRUDB.dat`, Windows 8 이상)	실행된 파일의 전체 경로와 실행 계정이 남고, 디스크에서 지워진 파일도 기록에 남는다. 앱별 송수신 바이트도 남는다	한 시간마다와 시스템 종료 때 DB에 쓰여 시각은 한 시간 단위로 읽는다. 가장 최근 분은 아직 DB에 없을 수 있다. 실행 중에는 파일이 잠겨 일반 복사로 열리지 않는다
MUICache	실행된 프로그램의 표시 이름 캐시. 탐색기가 실행 파일의 경로와 버전 정보(FileDescription·CompanyName)를 사용자 하이브(UsrClass.dat)에 저장한다	실행 파일이 지워진 뒤에도 경로와 표시 이름이 남는다. 파일 이름을 바꿔도 버전 정보의 설명이 남아 원래 정체를 가리킬 수 있다	실행 시각이 없다. 시각은 다른 축에서 가져온다
ShellBags	탐색기로 연 폴더의 보기 설정(아이콘 크기·보기 방식·창 크기)을 저장하는 레지스트리 키. 사용자 하이브(NTUSER.DAT·UsrClass.dat)에 있다	어떤 폴더를 열어 봤는지가 남고, 지워졌거나 이동식 장치에 있던 폴더도 남는다	폴더 열람 ≠ 파일 실행. 사용자나 정리 도구가 지울 수 있다
서비스 메모리 문자열	DPS·PcaSvc 같은 시스템 서비스와 csrss 같은 시스템 프로세스의 메모리에 남는 실행 흔적 문자열(실행 파일 경로 등)	디스크에서 파일을 지운 뒤에도 그 프로세스가 살아 있는 동안 경로가 남는다. 도구 카탈로그의 DPS-Analyzer는 DPS 메모리 문자열에서 실행 파일 경로를 뽑아 서명과 디스크 존재 여부를 대조한다	프로세스가 끝나면 할당된 메모리가 해제돼 문자열도 사라진다. 재시작된 프로세스에는 이전 문자열이 없다. 문자열 하나는 리드다
보호 기록 (Defender)	Windows 보안 앱이 보여 주는 Microsoft Defender 바이러스 백신의 탐지·조치 목록. 격리·차단·허용한 위협, 제거한 원치 않는 앱(PUA), 꺼진 주요 서비스가 카드로 나온다	Defender가 파일을 탐지하고 한 조치와, 사용자가 "디바이스에서 허용"을 골라 허용된 위협 목록에 넣은 항목이 남는다. 위협 세부 내용은 관리자 권한으로 본다	보호 기록 목록의 항목은 2주가 지나면 목록에서 사라진다. 목록이 비어 있음 ≠ 탐지 없음. 탐지명만으로 판정하지 않는다
Dev Drive	ReFS 기반 개발용 볼륨. Windows 11 빌드 22621.2338 이상에서 만들 수 있고, C: 드라이브는 Dev Drive가 될 수 없다	포맷할 때 기본으로 신뢰됨으로 지정되고, 신뢰된 Dev Drive에서는 Defender가 성능 모드(비동기 검사)로 동작한다. 신뢰 상태는 `fsutil devdrv query <드라이브>:`로 확인한다	ReFS에도 USN 저널과 명명 스트림이 있다. 파일 시스템이 달라 NTFS용 파서가 읽지 못할 수 있으니 파서 실패 ≠ 흔적 없음. 개발자에게는 정상 구성이다

우회·은닉

표제어	정의	왜 보는가	오인용 경고
인젝션	다른 프로세스 메모리에 코드 삽입	모듈 목록·메모리의 비정상 영역	하위 유형 구분 필요
리플렉티브	LoadLibrary 없이 메모리에 전개. 모듈 목록 미등재	목록에 없는 실행 코드 탐지	JIT·안티치트 훅과 구분
수동 매핑	LoadLibrary 없이 DLL을 섹션별로 매핑	커널·유저 모두에서 쓰임	리플렉티브와 유사하나 구현 다름
할로우 / RunPE	정상 프로세스 이미지를 교체	정상 이름 뒤의 다른 코드	Volatility 2의 hollowfind와 Volatility 3의 기본 출력이 다름
파일리스	디스크에 쓰지 않고 메모리에서 실행. PowerShell 리플렉션·인메모리 로드가 대표	치트 `.pf`가 없어도 실행 주체의 `.pf`·스크립트 로그·메모리에 남는다	파일 없음 ≠ 흔적 없음
LOLBin	Windows 기본 바이너리(certutil·msbuild 등)를 악용한 실행	정상 이름의 비정상 용도. 명령행·산출물이 축	이름이 정상이라고 실행 목적까지 정상은 아님
IFEO	Image File Execution Options. 특정 exe 이름 실행 시 다른 프로그램을 끼워 넣는 레지스트리	이름으로 연 파일이 실제로 다른 파일일 때	개발자 디버깅에도 씀. 단독 판정 금지
사이드로딩	정상 exe가 로드하는 DLL을 같은 이름의 다른 파일로 교체	모듈 목록의 경로·서명 불일치	정품 위치(System32)와 서명 확인 필요
Internal / External	Internal은 게임 프로세스 내부, External은 외부에서 메모리 접근	흔적이 남는 위치가 달라짐	둘 다 흔적은 남김
고스트 클라이언트	JVM 밖에서 JNI/JVMTI로 로드하는 MC 클라이언트	모드 폴더가 깨끗한 MC 치트 경로	Lunar·Feather 등 공식 런처와 구분
로더 / 드롭 / replace	잠깐 두는 파일, 실행 후 교체·삭제	"짧게 머문 파일"의 패턴	지속 설치와 다름
고스트 삭제	실행 후 파일만 사라짐	BAM Deleted, USN DELETE로 추적	지워진 사실이 실행 증명은 아님
오버레이 / ESP	게임 밖에서 정보를 그리는 창. 캡처제외 가능	화면에만 보이는 정보 경로	Discord·NVIDIA 정상 오버레이는 FP
VM 격리	게임이나 치트를 가상 머신·샌드박스 안에 두어, 검사가 보는 OS와 실제 실행 환경을 나누는 우회. 연구 사례(VIC)는 수정하지 않은 게스트 OS에서 게임을 돌리고, 호스트의 치트가 하이퍼바이저의 가상 머신 인트로스펙션으로 게스트 메모리를 읽는다	검사가 게스트만 보면 흔적이 없다. 대상 OS가 가상 머신 안인지부터 확인한다. Windows Sandbox 안의 파일과 상태는 샌드박스를 닫으면 모두 지워진다	VM·샌드박스 소프트웨어 설치 자체는 개발·테스트에 흔하다(FP 베이스라인). 단독 판정 금지

매크로·입력

표제어	정의	왜 보는가	오인용 경고
매크로 (SW)	소프트웨어가 입력 시퀀스를 재생	반복 입력 패턴·바인딩 흔적	정상 매크로 프로그램과 겹침
온보드 매크로	마우스·키보드 펌웨어 안에 저장된 매크로	호스트에 프로세스가 안 남는 입력 보조	장치 존재 = 사용 증거 아님
시리얼 입력	USB 시리얼 장치를 통한 외부 입력 주입	2PC 구성의 입력 경로	개발용 시리얼 장비와 겹침
외부 입력 장치 (HID 주입)	KMBox·Makcu·Arduino처럼 게임 PC에 마우스·키보드로 연결돼 외부에서 계산한 입력을 넣는 장치. 두 번째 PC나 영상 인식 모델이 만든 조준 값을 사람의 마우스 움직임처럼 보낸다	게임 PC에는 일반 입력 장치로 보여 프로세스 흔적이 없다. 입력 장치를 위장하는 용도로 쓰인다. 장치 목록과 연결 기록이 확인 재료다	장치 존재 = 사용 증거 아님. Arduino 같은 개발용 보드와 겹친다

Ring0 (커널)

표제어	정의	왜 보는가	오인용 경고
BYOVD	취약하지만 정상 서명된 드라이버를 로드해 커널 접근 획득	Ring3 스캔을 비켜 가는 주요 경로	드라이버 존재 ≠ 치트. FP 체크 필수
매퍼	취약 드라이버로 커널 접근 후 코드를 매핑하는 도구	로드 후 사라지는 커널 페이로드 경로	미등재·변형 샘플은 해시 대조에서 빠진다
LOLDrivers	Living Off The Land Drivers. 취약 드라이버 해시 카탈로그	`.sys` 해시 대조의 기준표	조회 자산이지 블랙리스트가 아님
DKOM	Direct Kernel Object Manipulation. 커널 객체 직접 조작	프로세스·드라이버 은닉의 원리	Ring0 숨김 탐지와 관련
DSE	드라이버 서명 적용. x64 Windows의 커널 서명 강제	무서명 드라이버가 못 뜨는 이유	테스트 모드에서 완화됨
패치가드 (KPP)	64비트 Windows 커널 무결성 보호	SSDT 후킹 차단	존재 자체가 무결성 증명은 아님
HVCI / Memory Integrity	가상화 기반 코드 무결성. 서명 없는 드라이버 로드 차단	커널 경로의 환경 하드닝	off = 환경 가중치일 뿐
CI 이벤트	CodeIntegrity/Operational. 3076 감사 차단 · 3077 시행 차단 · 3001 무서명 드라이버 로드 시도 · 3033 서명 폐기·만료 · 3111 HVCI 미충족	드라이버 로드 시도의 공식 로그	3065는 유저모드 DLL 이벤트이지 드라이버 차단이 아니다
테스트 모드	서명 없는 드라이버 로드를 허용하는 Windows 모드	개발자 머신과 구분	안티치트가 활성화를 탐지함
이벤트 7045	새 서비스 설치 기록	드라이버 로드 시점 확인용	정상 소프트웨어 설치도 같은 이벤트를 남김

DMA·2PC·환경

표제어	정의	왜 보는가	오인용 경고
DMA	Direct Memory Access. 외부 장치가 호스트 메모리를 직접 읽음	호스트 증거가 없는 최하위 층	IOMMU off ≠ Confirmed
DMA 핵	PCIe 장치로 메모리를 읽고, 핵은 서브 PC에서 실행	프로세스가 안 보이는 이유	DMA 카드 = 치트가 아님
2PC (서브컴·투컴)	DMA 분석용 두 번째 PC	외부 처리 경로의 물리적 형태	원격 접속 + 창 복제 하이브리드와 구분
퓨저	캡처카드로 서브 PC 화면을 메인 모니터에 합성	두 PC 화면을 합치는 장치	없으면 원격 + 창복제로 우회 시도
AI 픽셀봇	캡처카드로 받은 게임 화면을 두 번째 PC의 영상 인식 모델이 읽고, 외부 USB HID 장치로 조준 입력을 넣는 구성. 게임 메모리를 읽지 않는다	게임 PC에서 치트 코드가 돌지 않고 게임 PC 안에 설치하는 하드웨어도 없어 Ring3 흔적이 적다. 2PC 구성과 입력 장치가 환경 노트의 재료다	캡처카드·두 번째 PC는 방송 구성과 겹친다. 존재만으로 판정 금지
IOMMU (VT-d / AMD-Vi)	DMA 장치의 메모리 접근을 격리·감시하는 CPU 기능	환경 점수의 핵심 항목	Off = 치트 증명 아님
Kernel DMA Protection	Windows의 가상화 기반 DMA 보호. IOMMU 위에서 동작	핫플러그 장치 차단의 기준	Off = 환경 메모만. 내부 PCIe는 별 문제
VBS	가상화 기반 보안의 상위 기능. HVCI의 바탕	플랫폼 요구와 묶이는 상태	꺼짐 단독은 규정 문제일 뿐
Secure Boot	부팅 체인의 서명 검증	부팅 단계 경로 차단	꺼짐은 구형 설치·듀얼부트와도 겹침
TPM 2.0	부팅 측정값 기록·서명 모듈	attestation으로 부팅 무결성 검증	없음 = 지원 부재일 수 있음
attestation	TPM이 부팅 측정을 서명해 안티치트에 보고	FACEIT의 부팅 무결성 검증 수단	통과 ≠ 모든 경로 차단
펌웨어 교체	DMA 카드 장치 ID를 정상 장치로 위장	스푸핑 실패의 흔적 해석	위장에 성공하면 장치 정보만으로는 구분이 어렵다
스푸퍼 / HWID	장치 식별자·하드웨어 ID 위장	ID 불일치의 가능 원인	숫자 불일치 ≠ Confirmed
환경 점수	Secure Boot·DMA Protection·HVCI 등 설정 상태 기록	환경 상태의 가중치 표	점수 단독으로 Suspicious 상향 금지

안티포렌식

표제어	정의	왜 보는가	오인용 경고
클렌 / 와이프	PF·USN·BAM·이벤트 로그 등 흔적 삭제	"없다"가 조작인지 확인하는 축	공백 자체가 증거는 아님
1102 / 104	Security 로그 삭제 / 그 밖의 로그 삭제(System 채널에 기록)	삭제 행위 자체의 로그	1102 단독 ≠ 치트 증명
3079 (Application)	USN 저널 삭제 관련 이벤트	저널 정리의 로그	CodeIntegrity의 3079와 다른 이벤트다. 증거에 로그 채널을 함께 적는다
CheckDeletedUSN	저널 생성 시각 > 부팅 시각이면 재생성 의심	저널 리셋 탐지	3079와 교차 확인
시효 조작 (timestomp)	$SI 시각 위조로 시간 불일치 유발	파일 시간 거짓의 탐지	단독 Confirmed 금지
4616	시스템 시간 변경 이벤트	타임라인 교란의 로그	정상 NTP 동기화도 발생

안티치트

표제어	정의	드라이버
EAC (Easy Anti-Cheat)	Epic Games 산하 안티치트	`EasyAntiCheat.sys`
BattlEye (BE)	독일 안티치트	`bedaisy.sys`
Vanguard	Riot Games 안티치트. 부팅 시 로드	`vgk.sys`
XIGNCODE3	웰비아닷컴 한국 안티치트	`xhunter1.sys`
mhyprot2	MiHoYo 안티치트 커널 드라이버	`mhyprot2.sys`

게임 설치 여부는 Ring0 FP 판정의 1차 기준이지 종결 근거가 아니다. mhyprot2.sys·bedaisy.sys·xhunter1.sys는 LOLDrivers에 vulnerable로 등재돼 있어 단독 반입 악용 사례가 있다. 로드 시각과 게임 세션 정렬을 함께 확인한다.

도구·스캐너

표제어	정의	왜 보는가	오인용 경고
Ocean (오션)	SS 포렌식 스캐너 (anticheat.ac). MC·FiveM·Rust 등	Ring3 초기 히트 수집	히트 없음이 Clean 근거는 아님
Detect	PC 포렌식 스캐너 (detect.ac). 132개 플래그	Ring3 초기 히트 수집	히트 없음이 Clean 근거 아님
Echo	SS 스캐너 (echo.ac). 시간순 파일 로그·HWID 표시. MC·FiveM·Rust·Roblox, 유료	Ring3 초기 히트 수집	히트 없음이 Clean 근거는 아님
pe-sieve / hollows_hunter	메모리 임플란트 스캔	비정상 메모리 영역의 힌트	힌트 도구이지 판결 도구가 아님
javaagent	JVM 기동 전 로드되는 에이전트 JAR	MC 계열의 로딩 경로	미확인 경로 = 능력. 행위 증명은 별도
Sigcheck / Autoruns / driverquery	서명·자동실행·드라이버 목록 확인	Ring0 열거의 기본 도구	도구 하나의 "없음"은 약한 근거

게임별

표제어	정의	왜 보는가	오인용 경고
알트	런처의 다른 계정	계정 스위칭 맥락	알트 = 치트 아님. 알트 확인을 위해 계정 접근 정보를 받지 않는다
모드 / 인젝 모드	모드 파일 로드 vs 에이전트 로드	로딩 경로 구분	난독화만으로 확정 금지
루아 실행기	서버가 주지 않은 루아를 FiveM 클라에서 실행	FiveM 치트의 실행 경로	리소스 폴더가 Clean일 수 있음
밴웨이브	같은 장치 지문 묶음을 한 번에 제재	플랫폼 공지 해석	SS 한 건의 라벨과 다름

한국어 현장 은어

Community. 규범이 아니라 현장 용어의 의역 모음이다. 본문 규범 표현은 각 페이지 용어를 따른다.

은어	의미 (의역)	규범 표현
핵쟁이 / 치터	비인가 프로그램 사용자 (멸칭)	용의자
클렌 돌렸다	흔적 삭제 도구를 사용했다	AF 클러스터
보드 / 보드핵	맥락에 따라 DMA 카드 또는 온보드 매크로	dma-2pc 또는 macro-hw
에임핵 / 오토에임	조준 보조	계열 분류로 표기
월핵 / ESP	벽 뒤 적을 보는 기능	overlay 계열
스핵 / 스피드핵	이동 속도 조작	계열 분류로 표기
엑레 / 엑스레이	MC에서 광물·구조물 투시	alt-mod 계열
인젝 / 인젝터	DLL 인젝션 도구 또는 행위	inject-* 계열
커널 핵	Ring0에서 동작하는 핵	kernel 계열
하이퍼바이저 핵	Ring -1에서 동작. EPT 활용	레이어 밖. Insufficient 기본

자주 틀리는 현장 표현

문장	교정
"스캐너가 한 번에 잡았다 / 안 잡혔다"	한 도구의 히트 유무만으로 판정하지 않는다
"DMA라서 로컬에 없다"	부분적으로 사실. Insufficient로 처리하고 환경·제보를 별도 기록
"그냥 클린이다"	AF·스킵 여부 확인 전에는 사용 금지
"퓨저 없으면 당연히 잡힌다"	퓨저 유무와 탐지는 별개. 환경 평가는 항목 체크가 기준
"서명됐으니 정상이다"	BYOVD는 유효 서명 위에서 동작. 로드 시각·서비스·타임라인 교차가 필요
"드라이버가 있으니 치트다"	카탈로그 히트는 리드다. 벤더 소프트웨어 설치 여부로 FP를 먼저 뺀다

Sources

계열 분류: 치트 계열 23종
층 구조: 3-Layer 모델
FP 확인: FP 베이스라인

용어집 ​

판정·절차 ​

Ring3 아티팩트 ​

우회·은닉 ​

매크로·입력 ​

Ring0 (커널) ​

DMA·2PC·환경 ​

안티포렌식 ​

안티치트 ​

도구·스캐너 ​

게임별 ​

한국어 현장 은어 ​

자주 틀리는 현장 표현 ​

Sources ​

Next ​

용어집