Cómo funciona realmente un anticheat de FiveM

El problema es de arquitectura. El cliente de FiveM se ejecuta en el equipo del jugador, lo que significa que el software de cheats está en la misma máquina, con los mismos privilegios, que la defensa. Además, la mayoría de los recursos que hacen funcionar tu servidor están escritos en Lua y se pueden leer; un atacante puede ver exactamente contra qué está jugando. Esto no significa que estés indefenso, sino que no existe un único muro que puedas instalar y olvidarte de él.

La consecuencia práctica: la protección es un proceso, no un producto. Las cuatro capas que siguen son la forma en que los servidores reales construyen ese proceso. Ninguna basta por sí sola; juntas, hacen que el trabajo de un tramposo sea caro y arriesgado.

1. Detección en el cliente

   Recursos que intentan atrapar el cheat que se ejecuta en el equipo del jugador: mod menus, inyectores, firmas conocidas, llamadas a funciones anormales. Atrapa muchísimo. Su punto ciego: los cheats que solo viven en memoria, la inyección ofuscada y el atacante que lee el código fuente y lo esquiva. Y como se ejecuta en esa máquina, quien la controla puede trabajar en su contra.

2. Comportamiento en el servidor

   Comprobaciones sobre las que el servidor tiene autoridad: velocidad imposible, teletransportes, dinero u objetos que el servidor nunca concedió, eventos que nunca deberían llamarse. Es difícil de burlar porque no se fía del cliente. Su punto ciego: los cheats que juegan “como un humano” (un aim assist ligero, exploits que se mantienen cerca de las reglas) quedan por debajo del umbral de comportamiento.

3. Revisión al conectarse

   Una comprobación que se hace cuando el jugador se conecta, antes de que entre en el juego. A diferencia de la detección dentro del juego, no mira lo que la persona hace en esa sesión, sino quién es. Detiene en la puerta a una identidad conocida. Su punto ciego: solo atrapa las identidades que reconoce; sin un archivo de historial detrás, una cara nueva le resulta invisible.

4. Inteligencia de identidad entre servidores

   El archivo que da su fuerza a la revisión al conectarse. La lista de baneos propia de un solo servidor solo conoce a quienes ese servidor atrapó; la capa de identidad une los registros de muchas comunidades. Aunque un jugador aparezca por primera vez en tu servidor, si está baneado en otro sitio, tiene un rol de cliente en una comunidad de cheats o es la cuenta alternativa de una cuenta baneada, esta capa lo sabe. Su punto ciego: solo ve rastros públicos en las comunidades vigiladas; a un tramposo que no ha dejado rastro en ningún sitio no lo puede ver.

La fuerza está en la superposición. Al jugador que juega limpio y luego activa los cheats lo atrapan la detección en el cliente y las comprobaciones de comportamiento. Al jugador baneado en otro sitio, que debería reconocerse en el momento en que se conecta, lo atrapan la capa de identidad y la revisión al conectarse, antes del primer disparo. La primera pregunta es “¿qué está haciendo ahora?”; la segunda, “¿qué hizo antes?”, y un tramposo solo se queda dentro si puede burlar las dos a la vez.

Así que la pregunta correcta no es qué capa cambiar por otra, sino cuál falta. La mayoría de los servidores ya tienen las dos primeras (un recurso de detección más las comprobaciones de txAdmin o del framework). Lo que suele faltar son la tercera y la cuarta, porque requieren un archivo compartido que ningún servidor puede construir por su cuenta.

Argos es la tercera y la cuarta capa: inteligencia de identidad y revisión al conectarse. Guard coteja a cada jugador que se conecta con el archivo (registros de baneo entre servidores, membresías en comunidades de cheats, roles de cliente y de vendedor, clústeres de cuentas alternativas) y aplica la acción que tú elijas: alertar, expulsar o rechazar la conexión. Actualmente el archivo abarca más de 400.000 identidades rastreadas y más de 110.000 registros de baneo, que es justo el tipo de datos que ningún servidor puede reunir por sí solo.

La decisión de comprar un anticheat suele tomarse preguntando “¿cuál es mejor?”, pero los productos no hacen el mismo trabajo. Primero averigua en qué capa estás perdiendo:

• “Los cheats siguen dentro y nunca se detectan” → falta la capa de detección dentro del juego. Los productos del lado del cliente (Electron, Phoenix AC, FiveGuard) están hechos precisamente para eso.
• “Lo baneamos y volvió con una cuenta nueva” → falta la capa de identidad. Reforzar la detección no lo resuelve; la cuenta nueva parece limpia porque está limpia.
• “Siempre circula la misma gente por nuestro Discord” → falta la capa de revisión de entradas; aunque cierres el servidor de juego, la comunidad sigue abierta.
• “Dos hermanos se conectan desde la misma casa y no paran de marcarlos” → falta la capa de revisión: sin una vía de apelación y una lista de permitidos, cada decisión automática deja un daño permanente.

Las capas no se sustituyen entre sí; funcionan en paralelo. Un mismo servidor puede tener a la vez detección dentro del juego y una comprobación de identidad al conectarse: una atrapa el uso de cheats en cuanto empieza y la otra impide que un jugador conocido llegue siquiera a entrar.

Saber qué hace un anticheat es saber qué demuestra su resultado. Hay cuatro mecanismos, y todos tienen un punto ciego conocido. La propia guía de seguridad de Cfx.re señala el mismo límite: las comprobaciones en el cliente se pueden saltar fácilmente, y por eso el valor está en la verificación del lado del servidor.

• Escaneo de memoria y de firmas en el cliente: lee los procesos y las firmas de cheats conocidas en el equipo del jugador. Punto ciego: los cheats que solo viven en memoria y cuya firma no se conoce son invisibles, y el cliente está bajo el control del jugador.
• Análisis de comportamiento en el servidor: lee movimientos imposibles, daño anormal y llamadas a eventos a partir de los datos del servidor. Punto ciego: un cheat usado despacio y con cuidado no deja rastro en el comportamiento.
• Verificación de eventos y triggers: impide que un tramposo llame a los eventos protegidos. Punto ciego: solo cubre los eventos protegidos; todo lo que no está en la lista queda abierto.
• Comprobaciones previas a la conexión y de identidad: recogen datos sobre el jugador al conectarse y los comparan con registros anteriores. Punto ciego: un tramposo sin registros es invisible, y los registros solo proceden de las comunidades que los comparten.

Por eso “¿cuál es el mejor anticheat?” no tiene una única respuesta: cada mecanismo ve un tipo de cheat distinto y se le escapa otro distinto. La pregunta útil es qué tipo predomina en tu servidor.