Dlaczego executory Lua to osobny problem
Większość cheatów na FiveM siedzi w DLL-ach napisanych w C/C++ i da się je wykryć klasycznym skanowaniem sygnatur wstrzykniętych modułów. Executory Lua są inne: wykonują dowolny kod Lua wewnątrz legalnego środowiska skryptowego FiveM, więc dla większości statycznych kontroli wyglądają identycznie jak zwykłe skrypty gry. Czysty skan sygnatur po binarce executora pomaga, ale binarka jest mała, często przepisywana i banalna do przepakowania. Wykrywanie musi dziać się także na poziomie działania gry.
Wykrywanie sygnatur na loaderze
Pierwsza linia obrony to wykrywanie sygnatur procesu loadera i wszystkich DLL-i, które loader mapuje do FiveM. Paczka sygnatur Ravena śledzi najbardziej aktywne rodziny loaderów i jest odświeżana w cyklu 1–7 dni. To od razu łapie leniwe executory i zmusza resztę do przepakowania przy każdym wydaniu, co kupuje czas.
Kontrole integralności w czasie działania
Poza sygnaturami loaderów Raven sprawdza integralność samego środowiska Lua. Monitoruje, które natywne handlery zostały załatane, jakie rejestracje eventów istnieją i czy globalny stan Lua nie został rozbudowany o obce tabele. Executory zwykle muszą wstawić co najmniej jedną z tych rzeczy, żeby dostarczyć swój payload, więc ta warstwa podnosi flagę nawet wtedy, gdy sama binarka loadera jest nieznana.
Serwerowa walidacja jako siatka bezpieczeństwa
Nawet jeśli i sygnatura loadera, i kontrola w czasie działania zostaną ominięte, executor wciąż musi coś ze swoim dostępem zrobić, a to zwykle oznacza wywołanie eventów serwerowych, których uczciwe skrypty by nie wywołały. Warstwa walidacji eventów po stronie serwera (zobacz /how-it-works/event-validation) blokuje eventy z niedozwolonych źródeł i odrzuca payloady poza sensownymi granicami. Przyznawanie pieniędzy z Lua, duplikowanie przedmiotów, zalew spawnów pojazdów i teleporty graczy trafiają na tę samą bramkę walidacji.
Dlaczego wykrywanie executorów Lua nigdy nie jest „skończone”
Autorzy executorów bez przerwy przepisują swoje loadery, bo każda wypuszczona przeciwko nim sygnatura kosztuje ich całą bazę klientów danego wydania. Wykrywanie jest ciągłe: działający dziś executor jest wykrytym executorem w ciągu 1–7 dni, a jego użytkownicy lądują w globalnej bazie banów. Wpis z alertem z 2026-04-21 w changelogu opisuje świeży przykład: wzorzec wywoływania eventów z Redengine załatany po stronie serwera regułą, która działa nawet wtedy, gdy każda kontrola po stronie klienta zostanie ominięta.