Lua 익스큐터가 특히 까다로운 이유
대부분의 파이브엠 치트는 C/C++ DLL 안에 있어서 전통적인 주입 모듈 시그니처 검사로 잡을 수 있습니다. Lua 익스큐터는 다릅니다. 합법적인 파이브엠 스크립팅 런타임 안에서 임의의 Lua를 실행하므로, 대부분의 정적 검사에서는 정상 게임 스크립트와 구분되지 않습니다. 익스큐터 바이너리에 대한 시그니처 검사도 도움은 되지만, 그 바이너리는 작고 자주 다시 쓰이며 재포장이 매우 쉽습니다. 탐지는 런타임 레이어에서도 이루어져야 합니다.
로더에 대한 시그니처 탐지
첫 번째 방어선은 로더 프로세스와 로더가 파이브엠에 매핑하는 DLL에 대한 시그니처 탐지입니다. Raven의 시그니처 팩은 가장 활발한 로더 계열을 추적하며 1~7일 주기로 갱신됩니다. 이것만으로 게으른 익스큐터는 즉시 걸리고, 나머지는 릴리스마다 재포장을 강요당해 시간을 벌어 줍니다.
런타임 무결성 검사
로더 시그니처 외에도 Raven은 Lua 런타임 자체의 무결성을 검증합니다. 어떤 네이티브 핸들러가 패치되었는지, 어떤 이벤트 등록이 존재하는지, 전역 Lua 상태에 외부 테이블이 추가되었는지를 감시합니다. 익스큐터는 페이로드를 전달하려면 보통 이 중 최소 하나는 건드려야 하므로, 로더 바이너리 자체가 알려지지 않았더라도 이 레이어에서 신호가 잡힙니다.
안전망 역할을 하는 서버 측 검증
로더 시그니처와 런타임 검사가 모두 우회되더라도 익스큐터는 결국 그 접근 권한으로 무언가를 해야 하고, 그것은 대개 정상 스크립트라면 발생시키지 않을 서버 이벤트를 부르는 일입니다. 서버 측 이벤트 검증 레이어(/how-it-works/event-validation 참고)는 허용되지 않은 출처의 이벤트를 차단하고 타당한 범위를 벗어난 페이로드를 거부합니다. Lua로 만든 돈 지급, 아이템 복제, 차량 스폰 폭주, 플레이어 텔레포트는 모두 같은 검증 관문을 지나야 합니다.
Lua 익스큐터 탐지가 끝나지 않는 이유
익스큐터 제작자는 로더를 끊임없이 다시 씁니다. 시그니처가 하나 배포될 때마다 해당 릴리스의 고객 전체를 잃기 때문입니다. 그래서 탐지도 계속됩니다. 오늘 작동하는 익스큐터는 1~7일 안에 탐지되는 익스큐터가 되고, 그 사용자들은 글로벌 밴 데이터베이스에 올라갑니다. 체인지로그의 2026-04-21 권고 항목이 최근 사례를 다룹니다. 클라이언트 검사가 전부 우회되어도 동작하는 규칙으로 서버 측에서 패치한 Redengine 이벤트 트리거 패턴입니다.