Você está usando plugins GPL nulled? Seu servidor pode já estar comprometido.
A ilusão de economia ao baixar plugins GPL nulled (versões pirateadas de plugins premium) é a porta de entrada para backdoors sofisticados que nem mesmo scanners de segurança detectam. Neste artigo, vou expor as técnicas reais que crackers usam para transformar seu WordPress em um zumbi.
A engenharia reversa do nulled: onde o perigo se esconde
Diferente do que muitos acreditam, o perigo não está apenas em arquivos suspeitos. Hackers injetam código malicioso em funções legítimas do WordPress, como wp_remote_get() ou add_action(), disfarçados de atualizações de rotina. Um exemplo clássico é o uso de obfuscation com base64_decode combinado com eval(), mas versões modernas usam system() ou shell_exec() dentro de callbacks inofensivos.
Backdoors persistentes além do plugin
O verdadeiro pesadelo não é o plugin em si, mas o que ele deixa para trás. Mesmo após deletar o plugin nulled, o backdoor pode permanecer em:
- wp-config.php – linhas de código que recriam o arquivo malicioso a cada requisição.
- arquivos de tema – funções.php com hooks que disparam payloads remotos.
- banco de dados – opções serializadas que executam scripts na ativação.
Esses backdoors são projetados para se adaptar: se você muda a senha do admin, eles criam um novo usuário oculto com permissões totais.
Teste real: seu servidor já foi infectado?
Conecte-se via SSH e execute este comando (substitua /caminho/wordpress):
grep -r 'base64_decode\|eval(\|system(' /caminho/wordpress/wp-content/plugins/ --include='*.php' -l
Mas atenção: crackers experientes usam ofuscação avançada. Procure por call_user_func com variáveis dinâmicas, preg_replace com modificador ‘e’ (obsoleto no PHP7, mas ainda funcional em versões antigas) e funções create_function.
A verdade sobre hospedagem compartilhada e plugins GPL
Hospedagens baratas não isolam sua conta. Um plugin nulled em um site pode infectar todos os outros na mesma máquina. Já vi casos onde a infecção se espalhou por 200 sites em um único servidor compartilhado, gerando tráfego de spam e derrubando o servidor inteiro.
Alternativa segura sem gastar rios de dinheiro
Use repositórios oficiais de plugins GPL de código aberto, como o WordPress.org, e complemente com serviços de terceiros confiáveis, como Freemius. Se precisar de um plugin premium, invista em uma licença única e evite sites de nulled. A economia de R$50 pode custar horas de limpeza e manutenção.
Conclusão: o preço oculto do ‘grátis’
Plugins GPL nulled são como caramujos: bonitos por fora, mas com uma armadilha mortal por dentro. Cada instalação é um convite para crackers explorarem seu servidor. Prefira segurança, mantenha backups e use apenas fontes confiáveis. Seu WordPress merece respeito.