Peligros de los themes, plugins y scripts nulled o cracked

Actualmente, WordPress sigue siendo el CMS más utilizado de todo el mundo, y ofrece miles de plugins y temas disponibles para mejorar la funcionalidad de tu sitio web, no obstante, seguramente ya te habrás encontrado con la situación en la cual nuestro sitio web requiere de una función en específico, que únicamente está disponible en un elemento de pago, o en la versión premium de un plugin en concreto.

En este tipo de casos, lo normal y recomendable es que si necesitas dicha función, te compres una licencia del elemento en cuestión para poder utilizarlo a tu gusto, además, actualmente existen infinidad de plugins en WordPress, y es raro que no encuentres uno gratuito que añada la funcionalidad que estás buscando (o una parecida), no obstante, a pesar de esto, existe una práctica muy común y peligrosa actualmente que deberías de evitar a toda costa, y es el uso de plugins y temas nulled en tu aplicación.

¿Qué son los plugins y themes nulled?

Los plugins y themes nulled son versiones pirateadas de plugins y temas premium de WordPress, que se distribuyen de forma gratuita (o con un precio rebajado) en sitios web no oficiales.



Hay que tener en cuenta que en el caso de WordPress, todo plugin o tema, aunque sea premium, puede ser copiado, modificado y distribuido posteriormente, debido a la regulación que está vigente en este CMS (GPL o Licencia Pública General), por lo que existen programadores que eliminan todos los sistemas de validación de la licencia del elemento para que todo el mundo pueda utilizarlos de forma gratuita.

Con esto, los usuarios intentan evitar pagar por las versiones originales, no obstante, la mayoría desconocen el riesgo asociado a este tipo de prácticas, ya que este tipo de elementos suelen llevar consigo alguna sorpresa en forma de malware, ya que, aparte de eliminar el sistema de validación indicado anteriormente, también es posible añadir ciertos archivos o scripts con código malicioso que podría provocar que toda tu instalación quede completamente infectada.

¿Por qué no debemos instalar elementos nulled en nuestro sitio web?

Como indicamos anteriormente, existen muchos motivos por los cuales no deberías de instalar este tipo de elementos en tu web, no obstante, te nombraremos a continuación los más importantes:

1. Riesgo de seguridad: Uno de los mayores peligros de utilizar plugins y themes nulled en WordPress es la vulnerabilidad de seguridad que ocasionan. Este tipo de elementos piratas suelen contener código o software malicioso que podría comprometer la seguridad de tu sitio web, lo que puede ocasionar que los atacantes vulneren dicha brecha de seguridad y la utilicen para robar datos sensibles, infectar tu sitio con malware o incluso tomar el control completo de la instalación.

2. Falta de actualizaciones: Los plugins y temas originales de WordPress suelen recibir actualizaciones periódicas para corregir posibles errores, mejorar la funcionalidad y garantizar la compatibilidad con las últimas versiones de WordPress. Al utilizar plugins y temas nulled, te perderás estas actualizaciones críticas, por lo que tu sitio web quedará expuesto a posibles problemas de compatibilidad y seguridad en el futuro.


3. Falta de soporte: cuando adquieres un elemento pirata, hay que tener en cuenta que no podrás acceder al soporte técnico proporcionado por los desarrolladores originales en caso de necesitar algún tipo de ayuda.


4. Daño a la reputación y legalidad: Utilizar plugins y temas nulled en WordPress también podría dañar tu reputación como propietario de un sitio web, ya que, si eres descubierto utilizando software ilegal, podrías enfrentarte a consecuencias legales y/o sanciones económicas, esto no es algo que suela ocurrir, no obstante, los autores legales de estos elementos sí que podrían emprender acciones legales contra la persona que los utilice de forma fraudulenta.

 

Infecciones causadas por elementos nulled

Desde Raiola Networks, hemos realizado ya multitud de desinfecciones en WordPress y hemos visto todo tipo de malware inyectado en una web, y en el 95% de los casos, los motivos que generan la infección son siempre los mismos:

• Elementos desactualizados dentro de la aplicación (con vulnerabilidades).


• Accesos de terceros (por ejemplo, mediante contraseñas inseguras).


• Tener instalados recursos nulled sin licencia original.

En cuanto al tipo de infección, si ha sido causada por algún elemento nulled, realmente podría ser de cualquier tipo, y la solución (como en cualquier otra infección), no pasaría por borrar el elemento en cuestión, sino que habría que realizar una desinfección completa en la instalación para eliminar todo tipo de rastro y garantizar que no vuelva a repetirse.

Hay que tener en cuenta que la mayoría de las personas que distribuyen este tipo de elementos, no lo hacen por “amor al arte”, si no que quieren conseguir alguna cosa a cambio, por ejemplo:

• Inyectar código malicioso para poder infectar la web y explotarla mediante envíos de SPAM masivos (podrían enviar SPAM a todos los clientes y usuarios de la web mediante el propio correo de la misma o desde una cuenta de email del propio dominio).

 

• Insertar publicidad no deseada en la web.


• Realizar redirecciones a páginas externas fraudulentas.


• Obtener información crítica del administrador de la web, o incluso de los propios usuarios/clientes de la misma.

¿Existe alguna manera de verificar si un plugin o theme nulled contiene malware?

Realmente, no existe una manera 100% fiable de comprobar si un elemento nulled tiene contenidos maliciosos, la única forma sería revisando de forma manual todos los ficheros del elemento en cuestión, es decir, revisar todas las líneas de cada uno de los archivos que traiga el plugin, lo que podría llevarnos horas o incluso días, además de que tendríamos que tener conocimientos avanzados de PHP, para poder localizar y diferenciar el código malicioso del código legítimo.



Existen algunos plugins de análisis y antimalware que sí que podrían detectar algún tipo de código o script que se encuentre inyectado en los ficheros del elemento en cuestión (por ejemplo WordFence Security), no obstante, y como ya te habrás dado cuenta si has leído hasta aquí, nuestra recomendación es que en ningún caso obtengas elementos de este tipo, y menos si tu web se encuentra en producción, ya que los riesgos que puede conllevar son mucho más elevados que lo que te pueden ofrecer, y dichos riesgos podrían provocar daños que tendrían un coste mucho más elevado que la propia licencia del plugin o tema original.