Valorant Vanguard Bypass Nasıl Çalışır?

Valorant'ta hile tartışması CS2'deki gibi 'offset güncellendi mi' seviyesinde kalmıyor. Vanguard oyunun içinde değil, oyunun altında çalışıyor: Windows açılırken yüklenen imzalı bir çekirdek sürücüsü, oyun kapalıyken bile sisteme bakar. Bu yazı bir reklam metni değil; bypass'ın hangi katmanda ne yaptığını, neden her Riot güncellemesinde yenilendiğini ve riskin nasıl minimumda tutulduğunu anlatıyor.

Vanguard'ın dört katmanı

• vgk.sys — boot-start olarak yüklenen çekirdek sürücüsü. Oyun açılmadan önce bellekte olur, süreç oluşturma ve sürücü yükleme olaylarını izler.
• vgc — kullanıcı modundaki servis. Sürücüyle konuşur, tarama komutlarını iletir, oyun kapanınca süreçleri sonlandırır.
• Oyun istemcisi — Vanguard'a bağlanır, el sıkışma (handshake) tamamlanmazsa oyun açılmaz.
• Sunucu tarafı — nişan istatistikleri, rapor oranları ve hesap geçmişi üzerinden davranış analizi. Çekirdek tarafından bağımsız çalışır.

Bypass kelimesi burada 'Vanguard'ı kapatmak' anlamına gelmiyor. Sürücüyü durdurursan oyun açılmaz; eksik sürücü doğrudan VAN hatası verir. Gerçek iş, sürücü çalışırken onun göremediği bir katmanda kalmak.

Bypass katmanları

1. İmzalı sürücü + manuel eşleme

Sürücüyü Windows'a normal yolla yüklemek yerine, imzalı ama farklı iş yapan bir sürücünün içine gömülü kod olarak yerleştirmek. Sürücü imzası geçerli olduğu için imza denetimi takılmaz; asıl kod bellekte çalışır. Vanguard'ın sürücü listesi kontrolü tam burada devreye giriyor: imzalı ama tanınmayan bir sürücü yüklendiğinde de şüpheli işaretlenir. Bu yüzden loader, kendi sürücüsünü yüklerken Vanguard'ın sürücü yükleme bildirimini almadan önce davranmak zorunda.

2. Savunmasız sürücü (BYOVD)

Microsoft'un imzaladığı ama çekirdek belleğe yazma yetkisi veren eski sürücüler. Yükleme imza denetimini geçer, sonra çekirdek fonksiyonlarını kullanarak Vanguard'ın kendi yapılarına erişir. Riot bu sürücüleri imza listesinden takip ediyor ve imzası iptal edilen her sürücü bir sonraki dalgada yasaklanıyor. Yani kalıcı bir çözüm değil, her seferinde yeni bir savunmasız sürücü bulmak gerekiyor.

3. Hypervisor

Windows'un altına ince bir hipervizör koyup oyunu sanal makinede çalıştırmak. Vanguard sanallaştırma izlerini (CPUID yaprakları, zamanlama farkları, MSR davranışı) arıyor. Type-1 hipervizörler bu izleri daha iyi gizliyor ancak kurulum titizlik ister: Secure Boot ve TPM zinciriyle çakışırsa sistem açılmaz. Bu yüzden private loader tarafında hipervizör yalnızca gerekli olduğunda, tek amaçlı bir makinede öneriliyor.

4. HWID spoof

Ban sonrası yeni hesap açan biri için asıl konu bu. Riot donanım kimliğini disk seri numarası, volume ID, SMBIOS bilgisi, MAC ve TPM tabanlı ölçümlerden topluyor. Spoofer bu değerleri çekirdek katmanında değiştiriyor; kullanıcı modundaki araçlar yalnızca görünen değeri değiştirir, çekirdek hâlâ eski değeri okur. Bu yüzden spoof işlemi Vanguard yüklenmeden önce, boot aşamasında yapılmalı.

Loader hangi sırayla çalışıyor

1. 1Windows açılır, loader servisi boot-start sürücüsünü yükler. Vanguard bu aşamada henüz yüklenmemiştir.
2. 2Sürücü, HWID değerlerini değiştirir ve kendi koruma katmanını kurar.
3. 3Vanguard yüklenir; sistemde tanıdığı ama beklenmeyen bir yapı görmezse oyunu açmaya izin verir.
4. 4Oyun başlar, loader kullanıcı modunda enjeksiyonu tamamlar ve kendi modülünü listeden çıkarır.
5. 5Oyun kapanınca loader süreçleri toplanır; sürücü bir sonraki açılışa kadar bekler.

Sıra bozulursa sonuç ya VAN hatası ya da oyunun açılışta kapanması olur. Loader'ı oyun açıldıktan sonra başlatmak en sık yapılan hata.

Sistem tarafında gereken ayarlar

• Windows 10 22H2 veya Windows 11 23H2 ve üzeri (64-bit). 24H2'de çekirdek imza davranışı değişti; loader sürümünün 24H2 desteklediğini doğrula.
• Secure Boot açık, TPM 2.0 aktif. Kapatmak Vanguard'ı oyundan men eder.
• Çekirdek izolasyonu (Memory Integrity / HVCI) kapalı. Açıkken imzasız ve manuel eşlenen sürücü yüklenmez.
• Test imzalama modu (testsigning) kapalı. Açık bırakmak tek başına bir tespit sinyali.
• Üçüncü parti antivirüslerin sürücü engelleme özellikleri kapalı; ESET ve Kaspersky burada sık sorun çıkarıyor.

Hata kodları ve ne anlama geldikleri

• VAN 9003 — vgc servisi çalışmıyor. Loader sürücüyü yükleyemediyse ya da servis durdurulduysa görülür.
• VAN 68 — Vanguard güncellemesi gelmiş; loader sürümü eski.
• VAN 152 — TPM veya Secure Boot kapalı.
• VAN 79 — sürücü imza doğrulaması geçmedi (genelde HVCI açık).
• VAN 128 — oyun dosyaları bütünlük kontrolünden geçmedi; Riot Client onarımı gerekir.
• 0x139 / KERNEL_SECURITY_CHECK_FAILURE — sürücü çakışması. Genelde iki koruma katmanı aynı anda yüklenince olur.

Her güncellemede neden yenileniyor

Riot iki şeyi sık değiştiriyor: vgk.sys'in imzasını ve sürücünün kontrol ettiği yapıların yerleşimini. Loader bu yapılara sabit ofsetle eriştiği için her imza değişiminde adresler kayıyor. Bu yüzden loader sürümü oyun sürümüne bağlı: Vanguard güncellendiğinde loader da güncellenmeden oyuna girmek VAN hatası verir; güncel sürüm ise riski minimumda tutar.

Bunun pratik sonucu şu: private loader'ı 'kur ve unut' bir araç gibi düşünme. #duyurular kanalını takip et, güncelleme notu gelmeden oyuna girme; güncel sürüm riski minimumda tutar.

Riski minimumda tutmak

• Boot sırası: loader servisi Vanguard'dan önce yüklenmeli. Yanlış sırada yüklenen sürücü VAN hatası verir; doğru sıra tespit yüzeyini de minimumda tutar.
• Güncel sürüm: Riot imza değiştirdiğinde loader aynı gün #duyurular kanalında yayınlanır. Güncel loader ile ban riski minimum düzeydedir.
• Hesap ayrımı: skinli ana hesapta kullanmak en pahalı hatadır. Hile için ayrı hesap ve ayrı makine profili kullan.
• HWID durumu: Riot donanım kimliğine yaptırım uygularsa aynı cihazdan açılan hesaplar etkilenir; spoofer Vanguard yüklenmeden önce, boot aşamasında çalıştırılmalı.

Kaldırma

1. 1Oyunu ve Riot Client'ı kapat.
2. 2Loader servisini durdur ve sürücüyü kaldır (loader arayüzünde Kaldır).
3. 3C:\Burjuva44 klasörünü sil.
4. 4Sistemi yeniden başlat; vgc ve vgk servislerinin normal başlangıca döndüğünü doğrula.
5. 5Riot Client'ı bir kez açıp kapat, Vanguard kendini yeniden yükler.

Sürücü kaldırılmadan yapılan HWID spoof geri alınmaz; değerler kalıcı olarak değişmiş olur. Spoof'u yalnızca tek amaçlı makinede kullan.