El primer que has d’assumir: un plugin o tema nulled no és només una còpia sense llicència. Pot incorporar loaders, portes del darrere, injecció publicitària o robatori de credencials abans d’arribar al teu WordPress. No hi ha cap manera fiable de donar per fet que l’única diferència és la llicència.
Eliminar el paquet no elimina la intrusió
Desactivar-lo no desfà usuaris creats, fitxers modificats, tasques cron, opcions persistents ni accessos remots. La recuperació ha d’abastar el WordPress complet i, si cal, el compte d’allotjament.
Conserva el paquet i construeix una línia temporal
- Guarda l’arxiu instal·lat, els hashes i l’hora aproximada d’instal·lació.
- Inventaria fitxers modificats després d’aquell moment, també fora del plugin o tema.
- Revisa usuaris administradors, cron, opcions autoload, connexions sortints i credencials.
- Comprova altres webs on s’hagi instal·lat la mateixa còpia.
Persistència que no has de passar per alt
Una porta del darrere pot quedar en un tema diferent, a uploads, a mu-plugins, en una tasca cron o en una opció de base de dades. Per això una reinstal·lació parcial pot deixar la causa activa.
Recupera des de paquets de confiança
- Retira el component nulled i substitueix-lo per una font legítima.
- Reinstal·la codi afectat des de paquets nets i elimina mecanismes de persistència confirmats.
- Rota credencials de WordPress, hosting, SFTP, base de dades i APIs rellevants.
- Monitoritza integritat de fitxers i trànsit sortint després de la recuperació.
Porta del darrere inclosa o injecció posterior?
Si el codi sospitós ja és dins l’arxiu original, el paquet és la font de compromís. Si apareix en fitxers aliens només després de la instal·lació, segueix la cadena d’escriptures. Compara el cas amb WP-VCD en temes de WordPress i, si els rewrites reapareixen, amb canvis persistents a .htaccess.
No esborris l’evidència dins del webroot
Conserva una còpia fora de rutes executables i amb accés restringit. No deixis el paquet maliciós “per referència” dins de la web.
Quan la recuperació es pot considerar completa
Només quan tot el codi executable prové de fonts fiables, les credencials privilegiades s’han rotat, no queda persistència i la integritat del lloc es manté estable durant l’ús normal.
CRITERI D’INCIDENT WP REPAIR
Seqüència d’intervenció segura
Deshabilita el component no desfà fitxers, usuaris, cron, opcions o accés remot que va crear. La recuperació haurà de cobrir tot el lloc i el compte servidoring.
- Preserva el fitxer instal· lat, els hashes i la instal· lació data i hora.
- Els fitxers d'inventari van canviar després de la instal·lació en tots els temes, plugins i càrregues.
- Usuaris d’auditoria, cron, opcions, sol·licituds de sortida i credencials.
- Comprova altres llocs on s' ha instal· lat el mateix paquet.
Què ha de quedar verificat
- No queda cap paquet no fiable ni codi injectat.
- Totes les credencials privilegiades i sessions estan girades.
- La integritat i el tràfic de sortida romanen estables a través del funcionament normal.
Fonts tècniques oficials
Aquesta guia explica el diagnòstic. Si la web està afectada ara mateix, la intervenció ha de preservar una via de recuperació i verificar el recorregut real del negoci.
Veure el servei de reparació urgent →SOBRE ESTE SÍNTOMA
Preguntes freqüents d'aquesta guia.
Si desactiu el plugin anul·lat o theme, es neutralitza l'amenaça?+
No. Deshabilita el component no desfà els fitxers, usuaris, treballs cron, opcions o accés remot que ja hagi creat, de manera que la recuperació haurà de cobrir tot el lloc i el compte hosting, no només el plugin o theme en si mateix.
Hi ha alguna manera de saber si un paquet anul·lat és 'li' excepte pel bypass de llicència?+
No existeix una forma fiable de confirmar que un paquet piratejat es diferencia de l’original només en la llicència. Pirated plugins i themes pot incloure carregadors, portes del darrere, injecció d’anuncis o robatori de credencials inclòs abans d’instal·lar-los, de manera que la suposició segura és que el paquet en si mateix no es pot confiar.
Puc mantenir el fitxer zip nul de plugin en el servidor com a prova?+
No dins de l’arrel de la web. Mantenir-la allà "com a referència" s'anomena com un error; l’evidència s'ha d’emmagatzemar fora de les rutes executables amb accés restringit perquè no pugui ser reexecutat o redescoberta com una amenaça en viu.
Quines credencials s'han de rotar després d’eliminar un component nul?+
WordPress, hosting, SFTP, base de dades i qualsevol credencial API rellevants han de ser rotades, ja que una rutina d'exfiltració de credencial o porta del darrere pot haver capturat qualsevol d'ells abans que el paquet fos eliminat.