Módulos y temas pirateados: el malware viene incluido

En junio de 2023 alguien compartió en el grupo un ZIP con un supuesto módulo de inteligencia artificial para convertir imágenes en modelos 3D. En Rekire lo borramos pensando que era contenido pirata y, al revisarlo, resultó que llevaba malware. Lo contamos porque es la forma más habitual de meter un virus en una tienda: un módulo o un tema de pago descargado gratis de donde no debe.

Lo que pasó

El fichero tenía nombre de herramienta llamativa y se presentaba como gratis. Todo apuntaba a que no fue un despiste de quien lo compartió: llevaba código malicioso dentro. El aviso de Rekire en el grupo fue directo: hoy la mejor manera de difundir virus son las cosas pirateadas, y en módulos y temas es muy común. Cuando algo de pago aparece gratis, el producto eres tú.

Cómo se esconde el malware en un módulo pirata

Rekire ha comparado más de una vez un módulo original con su versión «descargada». El código es casi idéntico y la diferencia suele ser una línea de más. No hace falta más: basta con dejar una puerta trasera abierta para volver cuando se quiera. Esa línea puede:

• Ejecutar código que llega desde fuera en una petición.
• Crear un empleado administrador o enviar a un tercero los datos de acceso.
• Meter un script en la página de pago para copiar tarjetas.
• Descargar más ficheros maliciosos cuando se activa el módulo.

En WordPress pasa igual o peor: un plugin de pago bajado de una web cualquiera está casi siempre manipulado.

«Es solo para probar»

Gustavo lo tiene claro: para aprender o hacer pruebas, un tema gratuito sin problema. Para una tienda en producción, no. Un buen tema costaba entonces unos 90 euros y montar una tienda cuesta bastante más; si el presupuesto no llega a la licencia del tema, el problema no es el tema. Y con una tienda te juegas el robo de datos de tus clientes y la multa que viene detrás.

Aunque sea en local, piénsalo dos veces: un fichero malicioso puede hacer daño en el equipo o el servidor donde lo descomprimes. Probar lo pirata tampoco es gratis.

Licencias: a nombre de quien las usa

Otro consejo de Gustavo para quien monta tiendas a clientes:

• Que las licencias las compre y las tenga el cliente, en su cuenta. Si las pagas tú y un día desapareces, el cliente se queda sin actualizaciones.
• Una licencia es para una tienda. Usar la misma en varias puede hacerte perder también la original si el desarrollador lo detecta.

Cómo comprobar lo que instalas

1. Descarga solo de fuentes oficiales: el marketplace oficial de PrestaShop o la web del propio desarrollador. Guarda la factura.
2. Si un módulo te llega por otra vía (un ZIP que te pasan, un mensaje en un grupo), no lo instales en producción.
3. Antes de instalar, busca dentro los patrones típicos:

   grep -rnE 'eval\(|base64_decode|gzinflate|str_rot13|assert\(' nombre-del-modulo/

   Algunos módulos legítimos usan alguna de estas funciones, pero cada resultado tienes que entenderlo.
4. Si tienes el original, compáralo con lo que te han pasado: diff -r original/ recibido/.
5. Después de instalar, comprueba que no han aparecido empleados nuevos ni ficheros fuera de la carpeta del módulo.

Si ya instalaste algo dudoso, trátalo como una intrusión: copia, revisión y cambio de contraseñas. En Rekire podemos revisarlo dentro de nuestros bonos de horas.

Esto salió en @PrestashopEsp, la mayor comunidad PrestaShop de España en Telegram. Ver la conversación