Scanner de backdoors FiveM

Ce que vérifie le scanner de backdoors

• Du code après une longue suite d'espaces : un loader ajouté à une ligne normale, invisible dans n'importe quel éditeur (dans les fichiers Lua et JS).
• load() ou loadstring() sur le contenu d'une réponse HTTP : celui qui contrôle ce serveur web peut exécuter n'importe quel code sur le tien.
• load() sur du texte décodé seulement à l'exécution : listes string.char, octets échappés ou décodeurs base64.
• Longues chaînes obfusquées : octets échappés, blocs base64 ou hexadécimaux et longues listes string.char.
• Lectures de sv_licenseKey, rcon_password ou sv_tebexSecret, et de la chaîne de connexion à la base de données dans un fichier qui envoie aussi des requêtes HTTP.
• Requêtes HTTP vers des adresses IP brutes ou vers des adresses décodées seulement à l'exécution.
• os.execute et io.popen, écritures hors de la resource et SaveResourceFile vers d'autres resources.
• Exécutables (.exe, .bat, .ps1 …) et entrées d'archive qui seraient extraites hors de leur dossier.

Comment une backdoor arrive sur un serveur FiveM

La plupart des backdoors arrivent dans une resource : une copie leakée ou « gratuite » d'un script payant ou un pack serveur qui circule sur Discord. Le code visible fonctionne comme annoncé, donc rien ne semble anormal.

La charge utile est souvent petite. Un schéma courant pousse un loader des milliers d'espaces à droite d'une ligne normale, là où aucun éditeur ne l'affiche ; un autre télécharge du code avec PerformHttpRequest et exécute la réponse avec load(). Une fois lancé, il peut se copier dans tes autres resources avec SaveResourceFile, c'est pourquoi un script infecté est rarement le seul.

Ce que signifie un résultat

Du code caché derrière des espaces est le seul constat sans usage légitime. Considère ces fichiers comme compromis.

Les autres constats sont des pistes, pas des verdicts. Un anticheat peut lire des convars, un script de logs peut appeler une IP brute et certaines bibliothèques embarquent des données base64. Lis la ligne indiquée et décide.

Un résultat propre signifie qu'aucun de ces motifs n'a été trouvé dans les fichiers que le scanner a pu lire. Il ne peut pas lire le code chiffré par escrow ni le Lua compilé, et une nouvelle technique d'obfuscation peut échapper aux vérifications par motifs. La liste « Non vérifié » montre exactement ce qui a été laissé de côté.

Si le scanner trouve une backdoor

1. Arrête le serveur, ou au moins la resource concernée.
2. Analyse tout le dossier resources, pas seulement la resource suspecte : la backdoor a pu se copier.
3. Remplace les resources infectées par une copie propre de l'auteur d'origine au lieu de supprimer des lignes isolées.
4. Change sv_licenseKey (Cfx.re Portal), rcon_password, ton secret Tebex, le mot de passe de ta base de données et tous les tokens de bot ou webhooks Discord présents dans tes fichiers.
5. Vérifie dans server.cfg et txAdmin les admins et les lignes add_ace ou add_principal que tu n'as pas ajoutés, et dans ta base de données les groupes admin inconnus.
6. Relance une analyse avant de redémarrer le serveur.

Questions fréquentes

Mes fichiers sont-ils envoyés ?

Non. Le scanner lit le ZIP ou le dossier dans ton navigateur et y exécute chaque vérification. Rien n'est envoyé à RPScripts.

Puis-je analyser tout mon serveur ?

Oui. Choisis ton dossier resources ou compresse-le en ZIP (jusqu'à 300 Mo). Chaque fichier Lua et JS jusqu'à 2 Mo est vérifié, jusqu'à 120 Mo de code au total. Les assets streamés comme les fichiers .ytd ou .yft ne sont pas du code et sont ignorés.

Peut-il vérifier les resources protégées par escrow ?

Non. L'escrow Cfx chiffre les fichiers protégés et seul FXServer peut les déchiffrer. Le scanner vérifie les fichiers qu'une resource laisse lisibles et liste les dossiers escrow sous « Non vérifié ».

Un résultat propre garantit-il que mon serveur est sûr ?

Non. Le scanner cherche les motifs qu'utilisent les backdoors connues. Il ne peut pas juger le code chiffré ou compilé, et il ne remplace pas le fait d'obtenir les resources auprès de leur auteur d'origine et de garder tes secrets privés.

Le scanner de backdoors est-il gratuit ?

Oui. Il ne demande pas de compte et n'a pas de limite d'analyses.

Teste une resource avant de l'installer

Le FiveM Script Tester exécute les mêmes vérifications de sécurité sur une resource, ainsi que son manifest, son Lua, l'API du framework et ses events, et la lance dans une sandbox CfxLua.

Le guide Cfx.re sur la sécurité du serveur explique comment sécuriser tes propres events.