لماذا منفّذات Lua مشكلة خاصة
معظم غش فايف إم يعيش في ملفات DLL بلغة C/C++ ويمكن كشفه بفحوص تواقيع الوحدات المحقونة التقليدية. أما منفّذات Lua فمختلفة: فهي تنفّذ Lua عشوائيًا داخل بيئة السكربتات المشروعة في فايف إم، فتبدو مطابقة تمامًا لسكربتات اللعبة الشرعية أمام معظم الفحوص الساكنة. فحص التواقيع على ملف المنفّذ يساعد، لكن الملف صغير ويُعاد كتابته باستمرار ويسهل إعادة تغليفه. لذا يجب أن يحدث الكشف على طبقة التشغيل أيضًا.
كشف التواقيع على المحمّل
خط الدفاع الأول هو كشف التواقيع على عملية المحمّل وعلى أي ملفات DLL يربطها المحمّل داخل فايف إم. وتتابع حزمة تواقيع Raven أنشط عائلات المحمّلات وتُحدَّث بوتيرة من 1 إلى 7 أيام. هذا يمسك المنفّذات الكسولة فورًا ويجبر البقية على إعادة التغليف بين كل إصدار وآخر، وهو ما يشتري وقتًا.
فحوص سلامة التشغيل
إلى جانب تواقيع المحمّل، يتحقق Raven من سلامة بيئة Lua نفسها. فيراقب أي معالجات أصلية جرى ترقيعها، وأي تسجيلات أحداث موجودة، وما إذا كانت حالة Lua العامة قد أُضيفت إليها جداول غريبة. وتحتاج المنفّذات عادة إلى إدراج واحد على الأقل من هذه لتوصيل حمولتها، فترفع هذه الطبقة إشارة حتى حين يكون ملف المحمّل نفسه غير معروف.
التحقق على السيرفر كشبكة أمان
حتى لو جرى تجاوز توقيع المحمّل وفحص التشغيل معًا، يبقى على المنفّذ أن يفعل شيئًا بما وصل إليه، وهذا يعني عادة إطلاق أحداث سيرفر ما كانت السكربتات الشرعية لتطلقها. وطبقة التحقق من الأحداث على السيرفر (انظر /how-it-works/event-validation) تحجب الأحداث القادمة من مصادر غير مسموح بها وترفض الحمولات خارج الحدود المعقولة. ومنح المال، وتكرار الأغراض، وإغراق استدعاء المركبات، ونقل اللاعبين، كلها تصطدم ببوابة التحقق نفسها حين يقودها Lua.
لماذا لا ينتهي كشف منفّذات Lua أبدًا
يعيد مؤلفو المنفّذات كتابة محمّلاتهم باستمرار لأن كل توقيع يصدر ضدهم يكلّفهم قاعدة عملائهم كاملة لذلك الإصدار. فالكشف عملية مستمرة: المنفّذ الذي يعمل اليوم يصبح مكشوفًا خلال 1 إلى 7 أيام، ومستخدموه يصبحون بعدها في قاعدة الحظر العالمية. ومدخلة التنبيه بتاريخ 2026-04-21 في سجل التحديثات تغطي مثالًا حديثًا: نمط إطلاق أحداث في Redengine جرى ترقيعه على السيرفر بقاعدة تعمل حتى لو جرى تجاوز كل فحوص العميل.