Modelo, textura e animação não podem ser infectados. Script e plugin podem.
Quase todo aviso de vírus em mod de GTA é falso positivo, e quase todo caso de gente que perdeu conta veio de script ou de GTA baixado pronto.
A SAMP Mods, uma comunidade de mods de SA-MP em espanhol, com fórum em foro.sampmods.net, mantém no Discord dela um canal só para analisar arquivo que as pessoas mandam, o análisis-de-mods. O tópico principal passa de seis mil respostas e continua ativo. O link do Discord está na página do fórum.
arquivos .dff, .txd e .ifp não podem ser infectados, portanto não serão revisados.
Eles só analisam cinco tipos: .cs, .lua, .luac, .asi e plugin de SAMPFUNCS.
Por que a divisão está certa
É a diferença entre um arquivo que o jogo lê e um arquivo que o jogo executa.
Um .dff é geometria. Uma lista de vértices e faces que o jogo transforma em carro ou prédio. Um .txd é imagem. Um .ifp é a descrição de um movimento. Nenhum dos três carrega instrução para o processador executar. Não existe onde esconder carga maliciosa, porque não existe nada ali que rode.
Já o .asi é uma DLL do Windows com outro nome, e DLL é código. O .cs é script CLEO compilado, que roda dentro do jogo. O .lua e o .luac são script do MoonLoader. Plugin de SAMPFUNCS é código também.
O que fazer quando o antivírus reclama
Reclamou de um .dff, .txd ou .ifp? Esse arquivo não roda nada, então o alarme é falso. Olhe o que veio junto no pacote: um .exe ou um instalador é outra história, evite baixar mods por instaladores.
Reclamou de um .asi ou de um .cs? Vale olhar. Olhar não quer dizer que é vírus: mod de GTA é feito exatamente do jeito que antivírus desconfia, injetando código em processo que já está rodando. É por isso que o ASI Loader e muito mod sério aparecem como ameaça em algum antivírus.
Na dúvida, passe no VirusTotal. Antes de rodar um .asi, .cs ou .luac que você não conhece, mande o arquivo no VirusTotal, que confere ele em dezenas de antivírus de uma vez. Não espere zero: mod de GTA quase sempre acende em um ou outro, pelo motivo aí de cima. O que pesa é o padrão. Poucos antivírus com nome genérico, tipo heurística ou suspeito, é o de sempre. Muitos acendendo juntos, ou nomes como trojan, stealer ou keylogger, é suspeito. E um aviso: o arquivo enviado fica disponível para a comunidade de segurança que usa o serviço, então nunca mande arquivo com dado seu dentro, como um config com senha.
Onde baixar mod
A primeira defesa é a origem. Baixe de site e de modder com reputação na comunidade e, sempre que der, direto do autor. As minhas recomendações pessoais:
- BlastHack. Tem hack, que a gente não apoia, mas tem muito mod legítimo e bom, e uma cultura forte de mod aberto e de aviso nos tópicos.
- MixMods.
- O site do próprio autor, direto da fonte.
Reputação dá para conferir: pesquisando um pouco, você acha o trabalho de quem é sério espalhado pela comunidade, e o nosso também. Dá para saber mais sobre a gente em Conheça o TrokMods.
Já recebemos relato de gente com medo de vírus no Trok Launcher, então vale falar dele aqui, que é o nosso programa. E um dos motivos do alarme é conhecido: ele não tem a assinatura digital paga, aquele certificado que custa na faixa de uns R$500. Programa sem assinatura, é justamente o tipo que o Windows e o antivírus acusa.
Não é descaso. A cada atualização a gente trabalha para tirar esses falsos positivos. Baixe sempre pelo link oficial do TrokMods, nunca de reupload de terceiro. E se o seu antivírus reclamar, mande o aviso para a gente: é assim que o próximo falso positivo some.
Uma vantagem do Lua
Script de MoonLoader vem em texto puro quando é .lua. Você abre no bloco de notas e lê o que ele faz, sem ferramenta nenhuma. Num ambiente onde circula script de origem duvidosa, poder olhar antes de rodar vale muito. Dá até para colar o script numa IA e pedir uma análise, desde que você trate a resposta como segunda opinião, e não como laudo.
O .luac é a versão compilada do mesmo, e aí você já não lê. E o .cs da CLEO é sempre compilado. Então, na dúvida entre dois scripts que fazem a mesma coisa, o que vem em texto tem uma vantagem real.
E o que procurar quando dá para ler
- Endereço de internet. Se aparece um site no meio do script, pergunte-se por que esse mod precisa falar com alguém.
- Caminho de pasta fora do jogo. Documentos, Área de Trabalho, AppData. Mod de GTA tem pouco motivo para ir até ali.
- Leitura de tecla ou de chat combinada com envio para fora. Separadas, as duas são normais e aparecem em mod bom. Juntas, pare a leitura.
Você pode pedir para uma IA analisar um mod .lua. Ela pode te apontar alertas.
Compilado não quer dizer trancado
Uma ressalva ao que está escrito acima: quando o script vem compilado, você não lê no bloco de notas. Isso não é o mesmo que não poder ler.
O JitTools recupera o código de script Lua compilado, e numa checagem contra scripts fechados de propósito ele abriu 70% deles. Embaralhar atrasa, mas não tranca. Só que aqui mora a pegadinha: parte do funcionamento dele executa o script no seu PC.
Leia de novo com calma. Você baixou um arquivo suspeito. Você faz a coisa certa, que é querer inspecionar antes de rodar. E a ferramenta de inspecionar roda o arquivo.
O próprio autor do JitTools recomenda ambiente isolado. Se você chegou ao ponto de precisar abrir um script à força, faça isso numa máquina virtual, e não no computador em que você entra em conta de jogo, de e-mail e de banco. É o mesmo erro de abrir o anexo suspeito só para ver o que é.
Se você só quer espiar a estrutura, sem rodar nada, o LJEdit lê o arquivo compilado como dado: mostra as funções, as constantes e os nomes que sobraram, sem executar o script.
Por onde o vírus entra de verdade
O caminho mais comum nem é o script solto: é a instalação inteira baixada pronta. Alguém monta uma data do GTA com tudo funcionando, sobe num site de download, e você instala sem saber o que tem dentro. Aí não é um arquivo para conferir, são dois mil.
O mesmo canal de análise tem um segundo tópico só para revisar instalação completa, com 129 pedidos na fila e regras próprias: a conta precisa ter pelo menos um mês no servidor, cada pessoa pode pedir a revisão de um GTA por dia, e o aviso de que a seção pode fechar a qualquer momento.
A comunidade sabe que data pronta é risco, a ponto de organizar um mutirão para checar.
A defesa
Comece de um jogo limpo, seu, e instale mod por mod. O caminho está em monte um GTA pronto para SA-MP.
E o roubo de conta
Circula em comunidade de SA-MP mods com registrador de teclas embutido, conhecido como grab, feito para pegar senha de conta de servidor e de rede social. Ele chega pelo caminho de sempre: um script, ou um GTA pronto que alguém mandou.
A defesa é a mesma deste post inteiro. E repare que a combinação da lista lá de cima, ler tecla ou chat e mandar para fora, é exatamente o que um grab faz. Use também senha diferente em cada lugar: se a senha do servidor vazar, ela não pode ser a mesma do seu e-mail.
Os posts que te protegem
Segurança não é um mod só:
Rodei um arquivo suspeito. O que eu faço? Tire o arquivo do jogo e troque as senhas por outro aparelho, começando pela conta do servidor e pelo e-mail. Se foi um GTA pronto, apague a pasta inteira e monte a sua.
Fonte: Discord da SAMP Mods; o tópico do JitTools no BlastHack
