So prüfst du, ob ein Spoof wirklich gegriffen hat
Lies die Kennungen vorher und nachher aus und vergleiche die beiden Listen, statt einem Erfolgsdialog zu glauben. Dazu: wie ein teilweiser Spoof aussieht und welche Windows-Befehle nur lesen.
Kurze Antwort
Lies die Kennungen vor dem Spoof und danach noch einmal aus und vergleiche dann die beiden Listen, denn ein Erfolgsdialog beweist nichts. Haben sich nur einige Werte geändert, ist der Spoof teilweise, und eine einzige unveränderte Seriennummer kann reichen, um den Rechner mit seiner alten Identität zu verknüpfen.
Auf dieser Seite9
- Warum reicht eine Erfolgsmeldung nicht?
- So vergleichst du vorher und nachher
- Befehle nur zum Lesen, um deine Kennungen zu prüfen
- Was bedeutet dein Vergleich?
- Welche Werte sollten gleich bleiben?
- Wodurch entsteht ein teilweiser Spoof?
- Was du prüfen solltest, bevor du irgendetwas startest
- Ist ein sauberer Vergleich eine Garantie für Sicherheit?
- Häufige Fragen zur Prüfung
Warum reicht eine Erfolgsmeldung nicht?
Die Erfolgsmeldung eines Spoofers sagt nur, dass seine eigene Routine ohne Fehler zurückgekehrt ist, und nicht, was dein Rechner jetzt anderer Software erzählt. Beides kann auseinandergehen, denn vielleicht wurde ein Treiber nicht geladen oder das Werkzeug deckt dieses Feld gar nicht ab. Ein Dienst kann den alten Wert auch längst zwischengespeichert haben, oder ein Neustart hat eine Änderung pro Boot zurückgesetzt. Alle vier Fälle liefern einen fröhlichen Dialog und eine unveränderte Kennung. Der einzige Beleg, der zählt, ist ein Wert, den du selbst vorher und nachher gelesen hast, über denselben Weg, den auch andere Software nimmt.
So vergleichst du vorher und nachher
Ein Durchlauf dauert fünf Minuten und macht aus einer Vermutung eine Tatsache. Mach ihn auf dem Rechner, der gespooft wird, in einer Eingabeaufforderung mit Administratorrechten, mit geschlossenem Spiel und geschlossenen Launchern.
- Boote den Rechner sauber, bevor du irgendetwas anderes startest
- Führ die folgenden Befehle aus, die nur lesen, und speichere die Ausgabe in einer Datei, deren Name den Zeitpunkt der Aufnahme erkennen lässt
- Starte deinen Spoofer so, wie es seine Dokumentation vorgibt, und ändere sonst nichts
- Führ exakt dieselben Befehle noch einmal aus und speichere die Ausgabe in einer zweiten Datei
- Vergleiche die beiden Dateien Zeile für Zeile und halte fest, welche Felder sich geändert haben und welche nicht
- Prüfe, ob die neuen Werte plausibel aussehen und nicht zufällig. Die Seriennummer eines Boards sollte dem Format des Herstellers folgen, die eines Datenträgers dem Stil dieses Herstellers
- Erst danach startest du Launcher und Spiel
Befehle nur zum Lesen, um deine Kennungen zu prüfen
Jeder Befehl unten liest nur den Zustand: Keiner ändert eine Kennung, einen Registry-Hive oder Firmware. Speichere alles oberhalb der letzten Zeile mit fc als inspect.cmd. Führ es vor dem Spoof aus und danach noch einmal und vergleiche die beiden Ausgaben mit dieser fc-Zeile.
REM Save a snapshot. Run the same block again after spoofing into after.txt
REM inspect.cmd > before.txt then inspect.cmd > after.txt
REM Motherboard
powershell -c "Get-CimInstance Win32_BaseBoard | Select-Object Manufacturer, Product, Version, SerialNumber"
REM System UUID and the OEM identifying number
powershell -c "Get-CimInstance Win32_ComputerSystemProduct | Select-Object Name, Vendor, UUID, IdentifyingNumber"
REM BIOS
powershell -c "Get-CimInstance Win32_BIOS | Select-Object Manufacturer, SMBIOSBIOSVersion, SerialNumber, ReleaseDate"
REM Physical disks and their serials
powershell -c "Get-CimInstance Win32_DiskDrive | Select-Object Index, Model, InterfaceType, SerialNumber"
REM Volume identifiers
powershell -c "Get-Volume | Select-Object DriveLetter, FileSystemLabel, UniqueId"
vol C:
REM MAC addresses for every adapter, not just the one you are using
getmac /v /fo list
powershell -c "Get-CimInstance Win32_NetworkAdapter -Filter 'PhysicalAdapter=true' | Select-Object Name, MACAddress"
REM TPM presence and manufacturer, read-only
powershell -c "Get-CimInstance -Namespace root\CIMV2\Security\MicrosoftTpm -ClassName Win32_Tpm | Select-Object ManufacturerIdTxt, ManufacturerVersion, SpecVersion, IsEnabled_InitialValue"
REM GPU, and the vendor UUID where the vendor tooling exposes one
powershell -c "Get-CimInstance Win32_VideoController | Select-Object Name, PNPDeviceID, DriverVersion"
nvidia-smi -L
REM The registry MachineGuid - a query, which only reads
reg query "HKLM\SOFTWARE\Microsoft\Cryptography" /v MachineGuid
REM Compare the two snapshots
fc before.txt after.txtWas bedeutet dein Vergleich?
Such die Zeile, die zu deinen beiden Dateien passt. Ein teilweiser Spoof ist der gefährliche Fall, denn das Werkzeug wird trotzdem Erfolg gemeldet haben.
| Was der Vergleich zeigt | Was das bedeutet | Was zu tun ist |
|---|---|---|
| Jede Kennung, die das Werkzeug abzudecken behauptet, hat sich geändert, und die neuen Werte sehen plausibel aus | Der Spoof hat wie vorgesehen gegriffen | Mach mit dem Rest deiner Reihenfolge weiter. Heb beide Dateien als Referenz für das nächste Mal auf |
| Einige Felder haben sich geändert, andere sind identisch mit der Vorher-Datei | Ein teilweiser Spoof. Eine einzige unveränderte Seriennummer kann reichen, damit die frühere Menge passt | Starte nichts. Lies in der Dokumentation des Werkzeugs nach, was es abdeckt, und melde die nicht abgedeckten Felder seinem Support |
| Es hat sich überhaupt nichts geändert | Das Werkzeug hat nicht gegriffen: Es brauchte Administratorrechte, ein Treiber wurde nicht geladen, oder etwas hat es blockiert | Starte neu, führ es nach einem sauberen Boot ohne alles andere erneut aus und prüfe noch einmal |
| Werte haben sich geändert und sind nach einem Neustart zurückgefallen | Ein Spoof pro Boot verhält sich genau so, wie er gebaut ist | Behandle booten, spoofen, prüfen in jeder Session als eine einzige Routine |
| Werte haben sich geändert, sehen aber unplausibel oder widersprüchlich aus | Widersprüchliche Kennungen sind selbst schon ein Signal und auffälliger als die ursprünglichen | Nutze die Profile, die das Werkzeug selbst erzeugt, statt beliebiger Werte, und frag seinen Support, wie die Felder aussehen sollten |
| Die Werte ändern sich bei jedem Ausführen desselben Befehls | Irgendetwas erzeugt bei jedem Aufruf eine neue Antwort | Halt an und frag nach, denn Software, die diese Kennungen liest, erwartet dieses Verhalten nicht, und es fällt stark auf |
Info
Welche Werte sollten gleich bleiben?
Bei der Prüfung geht es um die Felder, die dein Werkzeug abzudecken behauptet, und nicht darum, möglichst viele Unterschiede zu sammeln. Deine Windows-Version, das Modell der CPU, das Modell der GPU und der verbaute Arbeitsspeicher sollten gleich bleiben. Ein Werkzeug, das ein anderes CPU-Modell meldet als den Chip im Sockel, hat einen Widerspruch erzeugt und keine Verbesserung. Erwarte auch nicht, dass sich die Zeile mit dem Hersteller des TPM ändert: Du liest sie, um überhaupt zu erfahren, ob ein TPM vorhanden und aktiviert ist.
Wodurch entsteht ein teilweiser Spoof?
Ein teilweiser Spoof hat meist eine von vier Ursachen. Die erste: Das Werkzeug deckt diese Kennung nicht ab und hat das auch nie behauptet. Die zweite: Der Wert wird über einen Weg gelesen, auf dem das Werkzeug nicht sitzt, und bei Kennungen der GPU ist das üblich. Die dritte: ein Dienst, der vor dem Spoof gestartet ist und den alten Wert zwischengespeichert hat. Die vierte: ein Neustart, nach dem eine Änderung pro Boot stillschweigend verschwunden ist. Alle vier sind in einem Vergleich von vorher und nachher sichtbar und in einem Erfolgsdialog unsichtbar.
Was du prüfen solltest, bevor du irgendetwas startest
- Die Aufnahme von vorher entstand nach einem sauberen Boot, bevor ein Launcher gestartet wurde
- Die Aufnahme von nachher entstand mit exakt denselben Befehlen
- Jedes Feld, das das Werkzeug abzudecken behauptet, zeigt einen anderen Wert
- Die neuen Werte sind für echte Hardware plausibel und sehen nicht aus wie zufällige Zeichenketten
- Nichts, was gleich bleiben sollte, etwa die Windows-Version, das Modell der CPU oder die Größe des Arbeitsspeichers, hat sich geändert
- Alle Netzwerkadapter wurden geprüft und nicht nur der, der gerade verbunden ist
- Du weißt, ob dein Spoof einen Neustart übersteht, und hast das getestet, indem du neu gestartet und die Werte erneut gelesen hast
- Beide Dateien liegen dort, wo du sie beim nächsten Mal wiederfindest
Achtung
Ist ein sauberer Vergleich eine Garantie für Sicherheit?
Nein. Ein sauberer Vergleich beweist, dass dein Rechner jetzt andere Werte meldet. Er beweist nicht, dass keine Kennung übrig geblieben ist, dass ein Anbieter dich nicht auf anderem Weg verknüpfen kann oder dass kein Ban folgt. Er prüft, ob das Werkzeug getan hat, was es angekündigt hat, und das ist das Einzige an dieser Sache, wovon du dich selbst überzeugen kannst. Genau deshalb lohnt sich diese Prüfung: Alles, was danach kommt, liegt außerhalb deiner Kontrolle.
Häufige Fragen zur Prüfung
Brauchen diese Befehle Administratorrechte?
Die meisten CIM-Abfragen funktionieren auch als normaler Benutzer, und alle lesen nur. Führ sie trotzdem in einer Eingabeaufforderung mit Administratorrechten aus, damit die Aufnahmen vorher und nachher unter identischen Bedingungen entstehen.
Kann ich wmic statt Get-CimInstance verwenden?
Die alten Entsprechungen mit wmic liefern dieselben Felder, aber wmic gilt als veraltet und fehlt in aktuellen Windows-Versionen. Nimm die CIM-Befehle, damit derselbe Block weiter funktioniert.
Das Werkzeug meldet Erfolg, aber nichts hat sich geändert. Was stimmt?
Dein Vergleich stimmt, denn ein Dialog meldet den Rückgabewert der eigenen Routine und nicht das, was dein Rechner anderer Software erzählt. Starte neu, führ das Werkzeug nach einem sauberen Boot aus und prüfe noch einmal, bevor du irgendetwas startest.
Muss ich das in jeder Session prüfen?
Wenn dein Spoof pro Boot gilt, prüfe ihn in jeder Session, denn beim Neustart fällt er zurück. Einen dauerhaften Spoof prüfst du nach dem Anwenden und danach noch einmal nach jedem Windows-Update oder Wechsel der Hardware.
Gibt es einen einzelnen Befehl, der meine HWID zeigt?
Nein, denn eine einzelne HWID gibt es nicht. Du musst die ganze Menge lesen, und deshalb sind die Befehle zur Prüfung eine Liste und keine einzelne Zeile.
Quellen
Die Befehle sind Windows-Standard, die Routine hat das Team selbst entwickelt. Nirgends ist veröffentlicht, wie ein teilweiser Spoof aussieht.
Weiterlesen
Kommst du nicht weiter? Ticket auf Discord öffnen
Alle Anleitungen