Warum Lua-Executor ein Sonderfall sind
Die meisten FiveM-Cheats stecken in C/C++-DLLs und lassen sich mit klassischen Signaturscans auf injizierte Module erkennen. Lua-Executor sind anders: Sie führen beliebiges Lua innerhalb der legalen FiveM-Skript-Laufzeit aus und sehen für die meisten statischen Prüfungen genauso aus wie legitime Spielskripte. Ein reiner Signaturscan gegen die Executor-Binary hilft, aber die Binary ist klein, wird ständig neu geschrieben und lässt sich trivial neu verpacken. Die Erkennung muss also auch auf der Laufzeitebene stattfinden.
Signaturerkennung am Loader
Die erste Verteidigungslinie ist die Signaturerkennung am Loader-Prozess und an allen DLLs, die der Loader in FiveM abbildet. Ravens Signaturpaket verfolgt die aktivsten Loader-Familien und wird in einem Takt von 1-7 Tagen aufgefrischt. Das erwischt die bequemen Executor sofort und zwingt den Rest, zwischen jedem Release neu zu verpacken, was Zeit bringt.
Integritätsprüfungen zur Laufzeit
Über die Loader-Signaturen hinaus prüft Raven die Integrität der Lua-Laufzeit selbst. Es überwacht, welche Native-Handler gepatcht wurden, welche Event-Registrierungen existieren und ob der globale Lua-State um fremde Tables erweitert wurde. Executor müssen typischerweise mindestens eines davon einschleusen, um ihr Payload auszuliefern, also schlägt diese Schicht auch dann an, wenn die Loader-Binary selbst unbekannt ist.
Serverseitige Validierung als Auffangnetz
Selbst wenn Loader-Signatur und Laufzeitprüfung beide umgangen werden, muss der Executor mit seinem Zugriff etwas anfangen, und das heißt in der Regel, Server-Events auszulösen, die legitime Skripte nie auslösen würden. Die serverseitige Event-Validierung (siehe /how-it-works/event-validation) blockiert Events aus unzulässigen Quellen und lehnt Payloads außerhalb plausibler Grenzen ab. Per Lua vergebenes Geld, Item-Duplikationen, Fahrzeug-Spawn-Fluten und Spieler-Teleports laufen alle in dasselbe Validierungstor.
Warum die Erkennung von Lua-Executor nie „fertig“ ist
Executor-Autoren schreiben ihre Loader ständig neu, weil jede Signatur gegen sie ihre gesamte Kundschaft für dieses Release kostet. Erkennung ist eine Dauerarbeit: Ein Executor, der heute funktioniert, ist in 1-7 Tagen erkannt, und seine Nutzer stehen danach in der globalen Ban-Datenbank. Der Advisory-Eintrag vom 21.04.2026 im Changelog beschreibt ein aktuelles Beispiel, ein Redengine-Muster zum Auslösen von Events, das serverseitig mit einer Regel gepatcht wurde, die auch dann greift, wenn jede Client-Prüfung umgangen wird.