Lo primero que debes asumir: un plugin o tema nulled no es solo una copia sin licencia. Puede incorporar loaders, puertas traseras, inyección publicitaria o robo de credenciales antes de llegar a tu WordPress. No existe una forma fiable de dar por hecho que la única diferencia es la licencia.
Eliminar el paquete no elimina la intrusión
Desactivarlo no deshace usuarios creados, archivos modificados, tareas cron, opciones persistentes ni accesos remotos. La recuperación debe abarcar el WordPress completo y, cuando sea necesario, la cuenta de hosting.
Conserva el paquete y construye una línea temporal
- Guarda el archivo instalado, sus hashes y la hora aproximada de instalación.
- Inventaría archivos modificados desde ese momento, también fuera del plugin o tema.
- Revisa usuarios administradores, cron, opciones autoload, conexiones salientes y credenciales.
- Comprueba otras webs donde se haya instalado la misma copia.
Persistencia que no debes pasar por alto
Una puerta trasera puede quedar en otro tema, en uploads, en mu-plugins, en una tarea cron o en una opción de base de datos. Por eso una reinstalación parcial puede dejar activa la causa real.
Recupera desde paquetes de confianza
- Retira el componente nulled y sustitúyelo por una fuente legítima.
- Reinstala código afectado desde paquetes limpios y elimina mecanismos de persistencia confirmados.
- Rota credenciales de WordPress, hosting, SFTP, base de datos y APIs relevantes.
- Monitoriza integridad de archivos y tráfico saliente después de la recuperación.
¿Puerta trasera incluida o inyección posterior?
Si el código sospechoso ya existe dentro del archivo original, el paquete es la fuente del compromiso. Si aparece en archivos ajenos solo después de instalarlo, sigue la cadena de escrituras. Compara el caso con WP-VCD en temas de WordPress y, si los rewrites reaparecen, con cambios persistentes en .htaccess.
No borres la evidencia dentro del webroot
Conserva una copia fuera de rutas ejecutables y con acceso restringido. No dejes el paquete malicioso “como referencia” dentro de la web.
Cuándo puede darse por completa la recuperación
Solo cuando todo el código ejecutable procede de fuentes fiables, las credenciales privilegiadas se han rotado, no queda persistencia y la integridad del sitio permanece estable durante el uso normal.