piracka wtyczka (nulled plugin)

Piracka wtyczka (nulled plugin) to płatna wtyczka albo motyw WordPressa rozpowszechniany za darmo lub za ułamek ceny, z usuniętą kontrolą licencji. Sucuri opisuje takie kopie jako zmodyfikowane wersje oficjalnych wtyczek i motywów, z których zdjęto ograniczenia licencyjne ^[1]. Nazywa się je też wersjami „crackowanymi” albo pirackimi ^[1]. Najpoważniejszym problemem nie jest sama licencja, tylko to, co ktoś dopisał do kodu przed udostępnieniem go do pobrania.

Jak działa

Płatna wtyczka zwykle łączy się z serwerem producenta, żeby sprawdzić klucz licencyjny i pobrać aktualizacje. Osoba, która ją „nulluje”, usuwa albo omija ten fragment kodu. Sucuri podkreśla, że skoro ktoś i tak zmienia kod, nie wiadomo, co jeszcze w nim zmienił ^[3]. Według Sucuri złośliwy kod, trojany i tylne furtki (backdoor) są regularnie wstrzykiwane do pirackich wtyczek, zanim trafią do serwisów z plikami ^[3].

Nie każda piracka wtyczka zawiera złośliwy kod, ale napastnicy traktują takie paczki jako wygodny kanał dystrybucji ^[2]. Właściciel strony sam instaluje tylną furtkę, więc nie trzeba łamać hasła ani szukać luki.

Drogę takiej wtyczki od sprzedawcy do przejętej strony pokazuje schemat poniżej.

RYS. 1Droga pirackiej wtyczki

W WordPressie

W WordPressie piracka wtyczka ma pełne uprawnienia kodu PHP strony. Może czytać plik wp-config.php, tworzyć użytkowników i zapisywać pliki. Dokumentacja utwardzania radzi, by nie pobierać wtyczek ani motywów z niezaufanych źródeł, tylko z repozytorium WordPress.org albo od znanych firm ^[5].

Sucuri w 2020 roku przeanalizował pakiety z serwisu, który oferował ponad 2500 pirackich wtyczek i motywów ^[2]. Do każdej paczki dołączano dwa pliki, rms-script-ini.php i rms-script-mu-plugin.php ^[2]. Pierwszy tworzył tylną furtkę w katalogu mu-plugins, drugi wyszukiwał konta administratorów i logował napastnika jako jeden z nich ^[2]. Ten sam kod wysyłał dane o stronie na serwer kontrolowany przez napastników ^[2].

Katalog mu-plugins jest tu ważny. Wtyczki „must-use” działają zawsze, nie da się ich wyłączyć z panelu i nie ma ich na domyślnej liście wtyczek ^[6]. Sucuri zauważa, że usunięcie pirackiej wtyczki w panelu nie usuwa tylnej furtki z mu-plugins ^[2].

W 2023 roku Sucuri pobrał losowy motyw z serwisu wysoko w wynikach wyszukiwania dla zapytania o darmowe pirackie motywy WordPress ^[1]. Motyw zawierał plik theme/inc/class-appside.php z silnie zaciemnionym kodem ^[1]; zob. zaciemnianie kodu. Kod okazał się webshellem, który potrafił wyłączać popularne wtyczki bezpieczeństwa, infekować inne pliki na serwerze i wysyłać dane logowania do bazy z wp-config.php na zewnętrzny serwer ^[1].

Zagrożenia i skutki

• Nieautoryzowane konto administratora i pełna kontrola nad treścią strony ^[2].
• SEO spam, złośliwe przekierowania i web skimming, czyli kradzież danych kart z formularza płatności ^[3].
• Brak łatek. Piracka kopia nie łączy się z serwerem aktualizacji, więc nie dostaje poprawek bezpieczeństwa ^[3]. Każda opublikowana luka zostaje otwarta; zob. Vulnerable and Outdated Components i łatka (patch).
• Utrata widoczności. Wyszukiwarki mogą oznaczyć przejętą stronę ostrzeżeniem Ta witryna mogła paść ofiarą ataku hakerów, a zejście z listy Safe Browsing wymaga czyszczenia i prośby o ponowną weryfikację ^[3].

Status prawny

Kwestia legalności jest bardziej złożona niż w przypadku zwykłego oprogramowania. WordPress jest wydany na licencji GPLv2 lub nowszej, a WordPress.org stoi na stanowisku, że wtyczki i motywy są utworami zależnymi i dziedziczą licencję GPL, choć przyznaje, że granica utworu zależnego jest prawnie niejasna ^[4]. Sucuri z kolei określa używanie pirackiej wtyczki jako piractwo oprogramowania i naruszenie praw autorskich twórcy, grożące wezwaniem DMCA albo pozwem ^[3]. Niezależnie od oceny prawnej piracka kopia nie daje dostępu do aktualizacji ani wsparcia producenta ^[1].

Jak się bronić

1. Wtyczki i motywy tylko z repozytorium WordPress.org, od producenta albo od znanych firm ^[5].
2. Jeśli płatna wtyczka jest za droga, darmowa wtyczka z oficjalnego katalogu jest bezpieczniejsza niż piracka kopia płatnej ^[1].
3. Przejmując stronę po innym wykonawcy, trzeba sprawdzić pochodzenie każdej wtyczki. Sucuri zaleca w takiej sytuacji skan strony pod kątem integralności plików i znanego złośliwego kodu ^[3]; zob. skaner złośliwego oprogramowania (malware scanner) i monitorowanie integralności plików.
4. Regularny przegląd sekcji Must-Use na ekranie wtyczek, bo tam lądują furtki z pirackich paczek ^{[6] [2]}.

Jeśli piracka wtyczka była już zainstalowana, jej usunięcie to dopiero początek. Trzeba założyć, że dane z wp-config.php wyciekły, i przeprowadzić czyszczenie przejętej strony. Piracka wtyczka jest odmianą ataku na łańcuch dostaw, w którym zatruty jest sam kanał pobierania; pokrewne zjawisko opisuje hasło fałszywa wtyczka.

Historia i przykłady

W lipcu 2020 roku Sucuri opisał pirackie wtyczki z dołączoną tylną furtką, która zakładała plik w mu-plugins i logowała napastnika na konto administratora ^[2]. W lutym 2023 roku ten sam zespół pokazał webshell w losowo pobranym pirackim motywie ^[1]. W marcu 2026 roku Sucuri ponownie opisał ryzyka pirackich wtyczek: ukryty kod, brak łatek, spadek w wynikach wyszukiwania i ryzyko prawne ^[3].