Temas para WordPress podem ter código malicioso

Softwares de computador são códigos. Arquivos como música, vídeo e imagens são dados – é por isso que uma foto não pode conter um vírus sem explorar uma falha no software específico em que ela for visualizada. Mas os temas (layouts) do sistema de blogs WordPress, embora sejam compostos por dados como folhas de estilo e imagens, também possuem códigos que são executados no software do blog para gerar as páginas. Indivíduos mal intencionados têm usado isso para distribuir temas contendo códigos maliciosos.

Isso vale para quem possui instalação própria do WordPress. Quem usa o serviço WordPress.com tem os temas limitados pelo serviço – em parte, inclusive, devido ao risco de temas conterem todo tipo de código que poderiam servir como uma porta de entrada para o servidor.

O WordPress tem uma coleção oficial de temas para os blogs, porém há muitos temas disponíveis em outros sites, listas de temas recomendadas em vários blogs que raramente fazem links para essa coleção.

Usando táticas de otimização para sites de buscas (SEO), sites contendo ofertas de temas gratuitos conseguem posições excelentes em buscas na web pelo Google e outros mecanismos de pesquisa. O usuário que baixar um tema desses sites pode ter código malicioso injetado em seu site. Esse código pode adicionar uma “porta dos fundos” ao blog (permitindo ao criador do template ou outra pessoa que sabe do problema obter o controle do site) ou, no mínimo, adicionar códigos publicitários. Esses códigos, às vezes, vazam informações a respeito dos leitores do site.

Uma pesquisa recentemente realizada pelo site WPMU.org mostrou que dos dez primeiros resultados do Google para “free wordpress themes”, oito são inseguros e não devem ser confiados para baixar temas. Os sites pegam temas profissionais falsos ou temas gratuitos e incluem códigos ocultos que realizam funções sem relação com o tema.

Um código desses pode facilmente vazar informações ou tornar o blog inseguro, passível de invasão. Ele normalmente ficará escondido dentro dos arquivos do tema, de modo a ser difícil de identificar por quem não sabe com o WordPress funciona. Embora o mesmo também seja possível em plugins, ataques usando temas estão bem mais comuns.

Proteções
Membros da comunidade do WordPress estão tentando resolver o problema. Há plugins de segurança como o Template Authenticity Checker (Verificador de Autenticidade do Tema, TAC) que analisa o código dos layouts instalados pela presença de códigos indesejados.

Da mesma forma que temas podem ser modificados antes de serem baixados, os temas são também um bom local para hackers manterem uma porta aberta em um site invadido. Isso porque os temas não são modificados com a atualização geral do blog. Tanto o TAC como o Exploit Scanner podem servir para detectar esses problemas.

Outros downloads
A fonte de aplicativos e plugins é importante, tanto no caso do WordPress como de qualquer outro download que for realizado. Existem sites que distribuem diversos conteúdos falsos. Programas de segurança falsos, por exemplo, são extremamente comuns.

É especialmente comum que produtos anunciados em sites de baixa credibilidade sejam fraudulentos, contenham apenas versões pagas de programas que estão disponíveis gratuitamente ou sejam alterados de qualquer forma maliciosa para instalar softwares publicitários, por exemplo.

Buscar o site oficial de um produto, tema ou plugin é sempre recomendável. Normalmente, os autores originais se identificam corretamente e tem sua credibilidade a perder caso incluam algum código malicioso. Em alguns casos, infelizmente, mesmo isso pode não ser suficiente: hackers podem invadir o servidor o programa. Isso aconteceu recentemente com o ProFTPD, um servidor de transferência de arquivos popular para Linux.

Mas casos como esse são muito mais raros que os sites especificamente criados para distribuir códigos fraudulentos. Logo, tomar a precaução básica de fazer o download a partir do site oficial ou de coleções oficiais – como os sites oficiais de plugins e temas do WordPress – irá diminuir bastante o risco de problemas.

A coluna Segurança para o PC de hoje fica por aqui. Se você tem alguma dúvida sobre qualquer assunto relacionado à segurança da informação, como crime virtual, privacidade, vírus, spam e etc, escreva na área de comentários. A coluna volta na quarta-feira (2) para responder dúvidas de leitores. Até lá!