Epic Games ha anunciado la versión 2 de su sistema de anti-cheat para Linux, basado en el módulo de seguridad eBPF. Esta implementación requiere que el usuario active el arranque seguro (secure boot) y utilice la atestación remota para verificar la integridad del sistema. Sin embargo, expertos de seguridad señalan que este mecanismo es técnicamente frágil y susceptible a ser eludido con relativa facilidad.
La principal vulnerabilidad radica en la posibilidad de manipular las mediciones del TPM (Trusted Platform Module) en tiempo de ejecución. En la mayoría de las placas base, el TPM es un módulo accesible con un pin de reinicio; cortocircuitando este pin, un atacante puede restablecer el TPM a su estado inicial y programar mediciones falsas que engañen al código eBPF. Esto permite ejecutar un kernel modificado que afirma ser legítimo.
Además, si el TPM está integrado en la CPU o el chipset, el atacante puede utilizar un puente USB a SPI (como el MCP2210 de Microchip) para conectar un TPM externo. Programando este dispositivo con mediciones de confianza, el sistema operativo puede ignorar al TPM de la placa base y aceptar la atestación falsa. Aunque Epic podría bloquear TPM específicos en sus servidores, la barrera técnica para el usuario promedio es baja, lo que sugiere que la protección es más efectiva en entornos empresariales controlados que en el uso doméstico.