WordPress 免费插件下载陷阱：4份 ZIP 藏后门

免费插件本身没有问题，危险的是被人重新打包的“Premium 最新版”。WP资源海对四份来自同一下载链路的 ZIP 做了离线代码核验：四份全部包含管理员密码窃取模块，其中两份核心恶意文件完全一致。我们公开下载来源与证据，帮助站长避开风险。

四份恶意 ZIP：两个产品名，同一套窃密代码

四个 ZIP 都通过压缩包完整性检查，内部各有 31 个条目。Fluent ZIP 有约 6.25 MB 的异常数据文件 vendor/composer/package-map.dat；文件名写着 2.8.1，内部插件头部却写 1.0.0。这些是需要调查的异常，不是单凭文件大小就判定病毒。

关键证据：两个恶意 PHP 文件哈希完全相同

前两个核心文件在四个 ZIP 中分别具有完全相同的 SHA-256：登录模块 0bbbd19c81d8d61ea8f5d26e28101e8eb752ae2239d177563384130a8f6c545a，发送模块 f67bfd8a92746e3a1c82be6f56eae86551781c36699b5afcc7c2ed246203dcf5。窃密组件指定的接收地址为 downloadplugins.biz/logs/receiver.php。

风险域名：实测下载来源是什么？

四份原始 ZIP 均保留了 macOS 浏览器下载元数据（kMDItemWhereFroms）：

请不要安装这条链路提供的上述四份 ZIP。这些证据证明文件来源与恶意行为的联系，但没有证据证明两个域名由同一个人经营。站长在 macOS 上可以用 mdls -name kMDItemWhereFroms "plugin.zip" 检查自己下载包的来源；若记录不存在，也不能反推它安全。

还有哪些历史高风险下载域名？

安全机构曾公开记录过以下与 WordPress 恶意主题/插件分发相关的域名：

以上是历史记录，不是对这些域名 2026 年现状的重新检测。原始来源：Wordfence WP-VCD 研究、Sucuri 恶意插件分析、Imunify 调查。

怎么避免“省下插件费，丢掉网站”？

1. 看来源：优先开发者官网、WordPress.org 和可追溯的正规分发渠道；不要只信文件名里的 Premium 和版本号。
2. 查文件：核对内部主文件与真实版本，先看 ZIP 结构、SHA-256，再检查是否有不合理的登录监听、外联和隐藏行为。
3. 别拿生产网站试毒：未知来源的 ZIP 先审核&查验，必要时在隔离环境测试；已启用恶意插件则应按凭据泄露风险处置。

查看下载前7步安全自查；查看恶意插件恢复指南。

四份样本的完整 SHA-256

哈希完全匹配即可确认是本次危险文件；不匹配不能证明另一个文件安全。WP资源海已拦截这四个新发现的危险包，也已复核站内 YITH 4.29.0、4.36.0 历史资源，未检出本次窃密特征。查看 YITH 单项实测。

下载安装包，安全比“新”和“免费”更重要。官方产品与冒名恶意 ZIP 必须分清；不要因为个别危险样本误判所有 GPL 或正规免费插件。