Riot Vanguard, Valorant başta olmak üzere Riot Games yapımlarında hile girişimlerini engellemek için doğrudan Windows çekirdeğinde (Ring 0) çalışan bir anti-cheat sürücüsüdür. Sistem açılışında ya da istemci başlatıldığında yüklenen bu güvenlik modülü, işletim sisteminin en yetkili katmanında konumlanarak bellek manipülasyonlarını, sürücü düzeyindeki müdahaleleri ve yetkisiz kod enjeksiyonlarını gerçek zamanlı takip eder. Kullanıcı modundaki geleneksel güvenlik katmanlarından farklı olarak Vanguard, doğrudan donanım ve işletim sistemi çekirdeği seviyesinde denetim yürütür.
Hızlı Özet: Riot Vanguard Çalışma Mantığı (TL;DR)
- Ring 0 Entegrasyonu: Standart oyun yazılımlarının aksine doğrudan işletim sistemi çekirdeğinde (
vgk.sys) çalışarak donanıma doğrudan erişir. - Ön Yükleme Doğrulaması: Windows başlatılırken veya oyun istemcisi tetiklendiğinde devreye girerek henüz hile yazılımları belleğe yerleşmeden ortamı güvene alır.
- Süreç ve Bellek Taraması: Sanal bellek sayfalarını, DLL enjeksiyonlarını ve yetkisiz bellek yazma işlemlerini donanım seviyesinde izler.
- Kriptografik Bütünlük (Heartbeat): İstemci durumunu düzenli sinyallerle Riot sunucularına aktarır; eksik veya manipüle edilmiş paketlerde oturumu sonlandırır.
- Donanım ve Bütünlük Kısıtlamaları: Anakart, disk ve TPM (Trusted Platform Module) kimliklerini doğrulayarak sanal makine veya banlı donanım geçişlerini sınırlandırır.
Riot Vanguard Nedir ve Neden Çekirdek Seviyesinde Çalışır?
Geleneksel anti-cheat yazılımları, uzun yıllar boyunca kullanıcı katmanında (User-Mode / Ring 3) faaliyet gösterdi. Ancak modern hile mimarilerinin işletim sisteminin derinliklerine inmesi, güvenlik protokollerinin de çekirdek seviyesine (Kernel-Mode / Ring 0) taşınmasını zorunlu kıldı. Riot Vanguard, temelinde bu yetki eşitsizliğini ortadan kaldırmak için tasarlanmış bir çekirdek sürücüsüdür.
Kullanıcı modunda çalışan bir güvenlik yazılımı, bellekte yalnızca kendi yetki alanı dahilindeki işlemleri görebilir. Eğer bir hile aracı özel bir Windows çekirdek sürücüsü kullanarak doğrudan fiziksel belleğe (physical memory) erişiyorsa, Ring 3 katmanındaki koruma araçları bu müdahaleyi tespit edemez. Vanguard’ın temel bileşeni olan vgk.sys sürücüsü, hile yazılımlarının çekirdek katmanındaki ayrıcalıklarını dengelemek ve belleğin okunmasını ya da değiştirilmesini kaynağında engellemek amacıyla doğrudan Ring 0 seviyesinde çalışır. Mimarinin bu katman ayrımı hakkındaki teknik arka planı kavramak için kernel ve user-mode farkı incelemesine göz atabilirsiniz.
| Kriter | Kernel-Mode Anti-Cheat (Ring 0) | User-Mode Anti-Cheat (Ring 3) |
|---|---|---|
| Yetki Seviyesi | En yüksek sistem yetkisi (Donanım ve CPU kontrolü) | Kısıtlı uygulama yetkisi (API çağrılarına bağımlı) |
| Bellek Erişimi | Fiziksel ve sanal tüm adresleme alanlarını denetler | Sadece izin verilen süreç bellek alanlarını okur |
| Yükleme Zamanı | Sistem açılışında veya sürücü servisiyle birlikte | Oyun istemcisi (.exe) çalıştırıldığında |
| Sistem Kararlılığı Riski | Hata durumunda Mavi Ekran (BSOD) tetikleyebilir | Çökme durumunda yalnızca oyun istemcisi kapanır |
| Tipik Kullanım | Riot Vanguard, Easy Anti-Cheat, BattlEye | Eski nesil koruma araçları, bağımsız doğrulayıcılar |
Ring 0 ve Ring 3: Yetki Katmanları
Modern x86 ve x64 işlemci mimarileri, bellek güvenliğini ve sistem kararlılığını sağlamak için hiyerarşik koruma halkaları (hierarchical protection rings) kullanır. Bu yapının merkezinde Ring 0, yani çekirdek katmanı yer alırken, en dış halkada kullanıcı uygulamalarının çalıştığı Ring 3 bulunur.
[ Ring 3: Kullanıcı Modu ]
(Valorant.exe, Discord, Tarayıcılar)
│
▼ (Sistem Çağrıları / APIs)
[ Ring 0: Çekirdek Modu ]
(Windows Kernel, vgk.sys, Donanım Sürücüleri)
│
▼ (Doğrudan Erişim)
[ Fiziksel Donanım ]
(İşlemci, RAM, Depolama, Ağ Kartı)
Ring 0 katmanında çalışan bir kod, işlemcinin tüm komut setlerine ve belleğin her baytına sınırsız erişim hakkına sahiptir. Bir yazılım bu katmanda çalıştığında işletim sisteminin temel yapısına müdahale edebilir. Bu nedenle Microsoft, çekirdek moduna rastgele sürücülerin yüklenmesini engellemek için Sürücü İmza Zorunluluğu (Driver Signature Enforcement – DSE) kuralını uygular. Vanguard’ın vgk.sys bileşeni, Riot Games’e ait geçerli bir dijital sertifika ile imzalanmıştır; aksi halde 64-bit modern Windows sistemlerinde yüklenemez.
Son yıllarda Vanguard, işletim sistemi bütünlüğünü daha erken aşamalarda güvenceye almak için donanım tabanlı güvenlik standartlarına dayanır. Windows 11 üzerinde oyunun çalışması için talep edilen Secure Boot (Güvenli Önyükleme) ve TPM 2.0 (Trusted Platform Module), bilgisayarın henüz boot aşamasındayken yetkisiz yazılımlar veya rootkit’ler tarafından enfekte edilmediğini kriptografik olarak doğrular. Secure Boot, imzasız önyükleme sürücülerinin belleğe sızmasını engellerken; TPM çipi, sistem bütünlüğü ölçümlerini güvenli bir donanım kasasında saklar.
Kritik Not: Kernel modunda çalışan sürücüler doğrudan sistem donanımıyla konuştuğu için bu katmanda oluşabilecek en küçük bellek hatası (sayfa hatası, geçersiz adresleme) işletim sisteminin anında Mavi Ekran (BSOD) vermesine yol açar. Kararlılık riski, Ring 0 mimarilerinin doğasında vardır.
Başlatma Akışı (Boot-Time Yükleme)
Riot Vanguard iki ana parçadan oluşur: Kullanıcı modunda çalışan arka plan tepsisi (systray) uygulaması vgtray.exe ve çekirdek modunda görev yapan sistem sürücüsü vgk.sys.
Vanguard’ın en tartışılan özelliklerinden biri, geçmişte tamamen sistem açılışıyla (boot-time) birlikte yüklenmesiydi. Güncel yapılarda sürücü mimarisi optimize edilmiş olsa da Vanguard, oyun çalışmasa dahi çekirdek seviyesindeki doğruluğunu korumak adına sistem başlatıldığında servislerini hazır hale getirebilir. Sistem açılışından oyun kapanışına kadar geçen tipik işlem sırası şu şekilde işler:
1. Windows Boot ────► 2. Sürücü Başlatma ────► 3. Bütünlük Kontrolü ────► 4. Oyun Açılışı
(UEFI, TPM, DSE) (vgk.sys yüklenir) (Hook/Sürücü Taraması) (Heartbeat Aktif)
- İşletim Sistemi Başlatma: Windows UEFI ortamında Secure Boot ve dijital imza denetimlerini tamamlayarak çekirdeği yükler.
- Servis Tetiklenmesi: Vanguard’ın Windows Hizmeti (
vgc), sistem başlangıç parametrelerine veya istemci çağrısına bağlı olarak çekirdek sürücüsü olanvgk.sys‘yiSYSTEMyetkileriyle ayağa kaldırır. - Erken Aşama Taraması: Sürücü devreye girdiği andan itibaren sistemde daha önce yüklenmiş olan diğer üçüncü taraf sürücüleri analiz eder. Bilinen güvenlik açıklarına sahip eski veya modifiye edilmiş sürücüler (vulnerable drivers) tespit edilirse kara listeye alınır.
- İstemci Başlatma: Kullanıcı Riot istemcisini çalıştırdığında, kullanıcı modu arayüzü ile çekirdek sürücüsü arasında yerel bir haberleşme kanalı (I/O Control – IOCTL) açılır ve oyun süreci güvenli olarak işaretlenir.
Bellek ve Süreç İzleme
Oyun çalışmaya başladığı andan itibaren Vanguard, oyun sürecinin sanal bellek alanını dış müdahalelere karşı izole eder. Hile yazılımlarının oyundaki verileri değiştirmek veya okumak için kullandığı temel yöntemler; DLL enjeksiyonu (DLL Injection), bellek yamalama (Memory Patching) ve API hook (işlev kancalama) teknikleridir.
Vanguard çekirdek sürücüsü, Windows API işlevlerinden biri olan OpenProcess çağrılarını filtreleyerek oyunun bellek alanına yetkisiz erişim talep eden süreçleri engeller. Çekirdek seviyesinde yerleştirilen filtre sürücüleri (filter drivers), ObRegisterCallbacks gibi Windows mekanizmalarını kullanarak hedef sürecin tanıtıcısına (process handle) verilen izinleri kısıtlar. Bu sayede standart bir kullanıcı yazılımı, oyunun belleğini PROCESS_VM_READ veya PROCESS_VM_WRITE yetkisiyle açamaz.
Bunun yanı sıra sürücü, bellek sayfalarının yürütme izinlerini (örneğin PAGE_EXECUTE_READWRITE bayrağı taşıyan şüpheli bellek blokları) periyodik olarak tarar. Ancak bu derin bellek denetimi zaman zaman yanlış pozitiflere (false positive) ve yazılım çakışmalarına neden olabilir. Örneğin sistemde çalışan agresif bir antivirüs programı, fan kontrol yazılımları veya donanım izleme araçlarının kullandığı imzalanmamış çekirdek sürücüleri, Vanguard tarafından potansiyel bir saldırı vektörü olarak algılanıp engellenebilir.
Doğrulama ve Sunucu İletişimi (Heartbeat)
İstemci tarafında çalışan hiçbir güvenlik aracı tek başına mutlak kabul edilemez; zira yerel bellekte bulunan her şey teorik olarak tersine mühendisliğe açıktır. Riot Games bu sorunu aşmak için istemci-sunucu tabanlı bir kriptografik doğrulama protokolü uygular.
Oyun oturumu boyunca istemci içerisindeki Vanguard modülü ile uzaktaki oyun sunucusu arasında düzenli aralıklarla Heartbeat (Yaşam Sinyali) paketleri iletilir. Bu sinyaller basit ping paketleri değildir; vgk.sys tarafından o anki sistem çekirdeğinden toplanan bellek durum özetlerini, sürücü kontrol toplamlarını (checksum) ve şifrelenmiş donanım durum verilerini içerir.
Sunucu tarafındaki karar motoru, gelen bu paketlerin zamanlamasını ve kriptografik imzasını çözer. Eğer bir kullanıcı çekirdek sürücüsünü devre dışı bırakır, gelen paketleri manipüle eder veya sürücünün bellekteki işlevlerini yamalayarak durdurursa, heartbeat akışı bozulur. Sunucu, istemciden beklenen yanıtı belirli bir zaman aşımı içinde alamazsa kullanıcıyı “Bağlantı Hatası” veya ilgili VAN koduyla maçtan düşürür ve hesabı incelemeye alır.
Sanal Makine ve Donanım Kimliği Kontrolleri
Vanguard mimarisi, çalıştığı ortamın gerçek bir fiziksel donanım olup olmadığını titizlikle test eder. Birçok tersine mühendis ve hile geliştiricisi, çekirdek düzeyindeki analizleri izole edebilmek için sanal makineler (VMware, VirtualBox, KVM/QEMU) veya Hyper-V tabanlı sanallaştırma katmanları kullanır.
Vanguard; işlemcinin CPUID bayraklarını, sanallaştırma talimatlarını (VT-x, AMD-V) ve hipervizör varlığını sorgulayarak ortamı denetler. Sanallaştırılmış sistemlerin tespiti, hipervizör tuzakları ve zamanlama analizleri gibi karmaşık katmanlara dayanır. Bu tespit algoritmalarının nasıl çalıştığını ayrıntılarıyla ele alan sanal makine tespiti içeriğimizi inceleyebilirsiniz.
[ Fiziksel Donanım Bileşenleri ]
(Anakart UUID, Disk Seri No, MAC, SMBIOS)
│
▼ (Kriptografik Hashleme)
[ Benzersiz HWID Parmak İzi ]
│
▼ (Veritabanı Eşleşmesi)
[ Ban Durumu Kontrolü ]
Ortam denetimlerinin bir diğer kritik ayağı ise Donanım Kimliği (HWID) mimarisidir. Vanguard kural ihlali tespit ettiğinde yalnızca oyuncunun hesabını kapatmakla kalmaz; anakart seri numarası, disk kimlikleri, SMBIOS UUID değerleri ve ağ kartı adreslerini birleştirerek bir donanım profili oluşturur. Donanım düzeyinde uygulanan bu yaptırımların işleyişi hakkında detaylı bilgiye HWID ban rehberi üzerinden ulaşabilirsiniz.
Güncellemeler ve Sistem Uyumluluğu
Windows işletim sistemi, dinamik olarak güncellenen ve çekirdek yapısı yamalarla değişen bir ekosistemdir. Microsoft’un sunduğu her büyük Windows güncellemesi veya güvenlik yaması (Patch Tuesday), çekirdeğin iç veri yapılarını (örneğin EPROCESS yapısının bellek ofsetlerini) değiştirebilir.
Vanguard bu ofsetlere doğrudan dayandığı için oyun yamaları ve Windows güncellemeleri sonrasında sürücü dinamik olarak yeniden yapılandırılır. Çekirdek sürücüsü güncellenmediğinde, oyun istemcisi uyumsuzluk uyarısı vererek başlamayı reddeder. Kullanıcı tarafında yaşanan mavi ekran hatalarının veya oyunun birdenbire açılmamasının arkasında genellikle Windows çekirdeğinin yeni bir sürümü ile Vanguard’ın mevcut ofset haritası arasındaki bu geçici senkronizasyon kopukluğu yatar.
Sık Yapılan Hatalar ve Sorun Giderme
Vanguard’ın katı çekirdek politikaları, sistemdeki diğer üçüncü taraf yazılımlarla çakıştığında çeşitli hata kodları (VAN 128, VAN 1067, VAN 9003 vb.) üretir. Bu kodlar çoğunlukla sürücünün başlatılamadığını, TPM bütünlüğünün doğrulanamadığını veya bellek izolasyonunun ihlal edildiğini işaret eder.
Sorun giderme aşamasında uygulanabilecek temel kontrol adımları:
- Vanguard Hizmetini Doğrulayın:
services.msckonsolunu açarak vgc servisinin “Otomatik” başlangıç türünde ve çalışır durumda olduğunu kontrol edin. - Secure Boot ve TPM Durumunu İnceleyin: BIOS ayarlarından Secure Boot’un açık ve TPM 2.0 yongasının etkinleştirilmiş olduğunu teyit edin.
- Sürücü Çakışmalarını Ayıklayın: Eski donanım izleme araçlarını, sanal sürücü yazılımlarını veya imzasız fan profili kontrolcülerini sistemden kaldırın.
- Çekirdek İzolasyonunu (Core Isolation) Yönetin: Windows Güvenliği altındaki “Bellek Bütünlüğü” (HVCI) ayarlarının sisteminizle ve anakart sürücülerinizle uyumlu çalıştığından emin olun.
- Temiz Yeniden Kurulum Yapın:
vgcvevgk.sysdosyalarını barındıran Riot Vanguard dizinini tamamen kaldırıp sistemi yeniden başlattıktan sonra istemci üzerinden tekrar yüklenmesini sağlayın.
Alternatif Yaklaşımlar ve Araçlar
Vanguard’ın katı kısıtlamaları ve sürücü düzeyindeki müdahaleleri, test veya analiz amacıyla sistemi kısıtlamasız çalıştırmak isteyen ileri düzey kullanıcılar için ek çözümler doğurmuştur. Mimarinin çalışma mantığını kavrayan kullanıcılar, sistem kimliklerini ve sürücü etkileşimlerini yönetmek adına özelleştirilmiş yazılımlardan yararlanır. Bu doğrultuda sunulan Vanguard bypass ürün sayfası üzerinden edinilebilen yazılım; 30 günlük lisans için 699 TL, süresiz kullanım için 1099 TL seçenekleriyle kullanıcılara sunulmaktadır.
Sıkça Sorulan Sorular
Riot Vanguard her zaman çalışır mı, yoksa sadece oyun açıkken mi aktif olur?
Vanguard’ın çekirdek sürücüsü olan vgk.sys, sistem başlangıcında yüklenerek çekirdek bütünlüğünü erken aşamada koruma altına alır. Ancak kullanıcı dilediği zaman bildirim alanındaki simgeden Vanguard’ı kapatabilir; fakat bu durumda koruma döngüsü bozulacağı için sistemi yeniden başlatmadan Valorant çalıştırılamaz.
Vanguard ile kernel seviyesinde çalışan antivirüs çakışır mı?
Evet, çakışma riski bulunur. Antivirüs yazılımları da çekirdek düzeyinde sürücüler (hook ve filtre sürücüleri) kullandığından, aynı bellek bölgelerini veya sistem çağrılarını denetlemeye çalıştıklarında gecikmeler, oyun içi kilitlenmeler veya Mavi Ekran (BSOD) hataları meydana gelebilir.
Secure Boot ve TPM 2.0 Vanguard için neden gerekli görülüyor?
Secure Boot, işletim sistemi yüklenmeden önce devreye giren bootkit ve rootkit türü imzasız sürücüleri engeller. TPM 2.0 ise donanım kimliklerini ve sistem bütünlük ölçümlerini şifreli bir çipte saklayarak yazılımsal sahteciliklerin önüne geçer. Vanguard bu iki katmanı, çekirdek güvenliğinin temel dayanağı olarak kabul eder.
Vanguard hata kodlarında ilk yapılması gereken üç kontrol nedir?
İlk olarak vgc hizmetinin Windows Servisleri altında çalışıp çalışmadığı kontrol edilmeli, ardından BIOS üzerinden Secure Boot ve TPM 2.0’ın aktif olduğu doğrulanmalı ve son olarak sistemde çalışan üçüncü taraf sürücü tabanlı optimizasyon veya izleme araçları devre dışı bırakılmalıdır.
