Cosa sono i plugin nulled e perché sono pericolosi?

I plugin nulled sono copie di plugin WordPress a pagamento in cui la verifica della licenza è stata rimossa, così girano senza una chiave acquistata, e vengono distribuite gratuitamente o per pochi euro su siti di terze parti. Lo stesso mercato esiste per i temi premium. Partiamo dalla sorpresa: distribuirli spesso non è nemmeno illegale, perché la maggior parte dei plugin WordPress eredita la licenza GPL, che consente esplicitamente la ridistribuzione. La parte pericolosa è tutto il resto. Le copie nulled sono tagliate fuori dagli aggiornamenti ufficiali, quindi ogni falla di sicurezza resta aperta per tutta la vita del sito. Peggio ancora, i siti che le distribuiscono hanno un forte incentivo a modificare il codice, e i ricercatori di sicurezza trovano esattamente questo: backdoor, utenti amministratori nascosti, iniezione di spam SEO e ladri di credenziali impacchettati dentro plugin piratati. Il malware WP-VCD, una delle infezioni WordPress più diffuse mai documentate, si è propagato quasi esclusivamente in questo modo. Un plugin nulled equivale in sostanza a eseguire codice non verificato di provenienza anonima con pieno accesso al tuo database, ai tuoi utenti e alla tua reputazione.

Cosa significa nulled?

Il termine arriva dalla scena warez degli anni Novanta, dove nulled indicava software a cui era stata tolta la protezione dalla copia. Applicato a WordPress: normalmente un plugin premium contatta il fornitore con una chiave di licenza prima di attivare aggiornamenti e supporto. Una copia nulled ha quel controllo rimosso o cortocircuitato, così il plugin si comporta come se fosse regolarmente licenziato. La distribuzione avviene tramite portali di download dedicati, forum e marketplace che offrono migliaia di plugin e temi premium gratis oppure con un abbonamento economico a consumo illimitato.

Vale la pena distinguere due cose che spesso vengono confuse. Ci sono i cosiddetti GPL club, che rivendono copie non modificate di plugin con licenza GPL, e questa è una zona grigia tendente al lecito che esaminiamo più avanti. E ci sono i distributori nulled, le cui copie sono state alterate, ed è lì che vive l'incubo di sicurezza. Dall'esterno i due casi sono indistinguibili, ed è esattamente il problema: non hai alcun modo di verificare cosa sia stato modificato.

I plugin nulled sono legali? La questione GPL spiegata con onestà

WordPress è distribuito sotto la GNU General Public License, e la posizione ufficiale del progetto è che plugin e temi, in quanto opere derivate, la ereditano. La GPL concede a ogni destinatario il diritto di usare, modificare e ridistribuire il codice, anche a fini commerciali. Questo significa che una pura copia del codice della maggior parte dei plugin premium può essere legalmente ridistribuita da chiunque l'abbia ottenuta. Non è una scappatoia, è l'intento esplicito della licenza, ed è il motivo per cui i fornitori vendono chiavi di licenza per aggiornamenti e supporto anziché per il codice in sé.

Ci sono dei limiti. I marchi non sono coperti dalla GPL, quindi i portali che usano il nome commerciale e il logo di un plugin per vendere copie si muovono su un terreno molto più fragile. Le risorse incluse come immagini, font o librerie di terze parti possono avere licenze diverse. E in alcuni prodotti il codice ha licenza mista, con il PHP sotto GPL e il JavaScript o il CSS sotto una licenza proprietaria. Ma il riassunto onesto resta questo: il pericolo dei plugin nulled non è mai stato principalmente legale. È tecnico, e comincia nel momento in cui qualcuno con motivazioni ignote modifica il codice prima che tu lo scarichi.

Perché i plugin nulled sono pericolosi: nessun aggiornamento, mai

Anche un plugin nulled che non è stato manomesso ha una data di scadenza incorporata. Senza una chiave di licenza non può dialogare con il server di aggiornamento del fornitore, quindi resta silenziosamente alla versione che hai scaricato. In un ecosistema in cui, secondo Patchstack, ogni anno vengono pubblicate migliaia di nuove vulnerabilità nei plugin, questo è un incidente al rallentatore. Quando esce una release di sicurezza per il plugin, ogni installazione legittima si aggiorna e ogni installazione nulled resta vulnerabile. Gli attaccanti lo sanno e cercano specificamente vecchie versioni di plugin premium popolari, perché quelle installazioni sono in proporzione più spesso nulled e più spesso senza patch.

Il problema degli aggiornamenti si aggrava in silenzio: un sito che esegue un plugin nulled di solito ne esegue diversi, tutti congelati alla data del download, tutti impegnati ad accumulare CVE noti. Dopo un anno o due, un sito così non è un bersaglio blindato che richiede uno zero-day. È una porta aperta.

Quale malware si nasconde nei plugin nulled?

Le aziende di sicurezza analizzano regolarmente i plugin piratati infetti, e i payload seguono schemi ricorrenti:

• Backdoor. Poche righe di PHP offuscato che permettono all'attaccante di eseguire codice arbitrario più tardi, molto tempo dopo che il plugin sembra innocuo. Rimuovere il plugin spesso non rimuove la backdoor, che si è già copiata altrove.
• Account amministratore nascosti. Codice che crea silenziosamente un utente amministratore o reimposta le credenziali su richiesta, garantendo pieno accesso alla bacheca.
• Iniezione di spam SEO. Link verso siti di gioco d'azzardo, farmaci o tesine inseriti nelle tue pagine, spesso mostrati solo ai crawler dei motori di ricerca così che il proprietario non li veda mai. A pagare il conto è il tuo posizionamento.
• Reindirizzamenti malevoli. I visitatori vengono deviati verso pagine di truffa o malware, a volte solo da dispositivi mobili o da determinati paesi per ritardare la scoperta.
• Furto di credenziali e carte. Sui siti WooCommerce, il JavaScript iniettato può copiare i dati dai moduli di pagamento, mentre le credenziali raccolte alimentano l'ondata di attacchi successiva.

Il caso di riferimento è la famiglia di malware WP-VCD, che Wordfence ha documentato in un report dal titolo memorabile The Malware You Installed On Your Own Site. WP-VCD si è diffuso quasi esclusivamente tramite plugin e temi nulled, ha sepolto la sua backdoor in file dall'aspetto legittimo, ha infettato tutti gli altri siti presenti sullo stesso account di hosting e ha monetizzato attraverso spam e reindirizzamenti. Al suo apice era tra le infezioni WordPress più frequenti in assoluto, e ogni singola vittima se l'era installato da sola.

Come verificare se un plugin è nulled o infetto

Se erediti un sito o sospetti che in passato qualcuno abbia tagliato la strada, cerca questi segnali:

• Utenti amministratori sconosciuti. Passa in rassegna ogni account con diritti di amministratore o editore. Tutto ciò che non riesci ad attribuire è un campanello d'allarme.
• Plugin che non si aggiornano mai. Un plugin premium che da un anno non mostra alcun aggiornamento mentre il changelog del fornitore è attivo è nulled oppure abbandonato.
• Spam nei risultati di ricerca. Cerca il tuo dominio e verifica se Google elenca pagine o parole chiave che non hai mai scritto. Lo spam cloaked si manifesta lì per primo.
• File modificati o in più. Uno scanner di integrità dei file segnala i file PHP che differiscono dagli originali del fornitore o che si trovano in posti dove nessun plugin dovrebbe scrivere, come wp-content/uploads.
• Codice offuscato. Lunghe stringhe base64, chiamate a eval() e nomi di variabili come $wp_v_cd dentro i file di un plugin meritano attenzione immediata.

Se confermi un'infezione, la pulizia significa molto più che eliminare il plugin, perché le backdoor sopravvivono in modo autonomo. Ripristina da un backup pulito oppure esegui una bonifica completa dal malware, poi cambia tutte le password e tutti i salt in wp-config.php.

Alternative sicure ai plugin nulled

La verità scomoda è che i plugin nulled risolvono un problema reale, il budget, nel modo peggiore possibile. Le opzioni migliori, in ordine di preferenza:

• Usa la versione gratuita. Quasi ogni grande plugin premium ha un nucleo gratuito funzionante nella directory ufficiale, con codice che ha superato una revisione e aggiornamenti che arrivano automaticamente.
• Scegli un concorrente gratuito. La directory ufficiale ospita circa 60.000 plugin. Per la maggior parte delle funzioni a pagamento esiste una valida alternativa gratuita.
• Acquista la licenza. La licenza annuale della maggior parte dei plugin costa meno di un'ora di risposta a un incidente. Vista così, è un'assicurazione economica con il supporto incluso.
• Se proprio devi usare un rivenditore GPL, tratta il codice come non affidabile. Confrontalo con una copia sicuramente integra prima del deploy. Se non puoi farlo, non puoi valutare il rischio che ti stai assumendo.

Come InspectWP ti aiuta a tenere i plugin in ordine

InspectWP rileva i plugin e i temi installati su un sito WordPress analizzato insieme alle loro versioni, segnala le versioni con vulnerabilità note e mostra quando un plugin è stato rimosso dalla directory ufficiale, che spesso è il primo segnale pubblico che qualcosa non va. I plugin premium obsoleti che non si muovono mai nell'arco di più report pianificati sono esattamente lo schema che produce un'installazione nulled, quindi i report ricorrenti rendono visibile questo tipo di problema invece di lasciarlo invisibile. E se un sito che analizzi mostra plugin fermi nel tempo più rilevamenti di spam nei controlli SEO, questo articolo ti ha appena fornito la storia probabile dietro entrambi.