Skadliga PyPI-paket installerar bakdörrar på Telegram-botservrar

Python-utvecklare har blivit de senaste måltavlorna för en supply chain-kampanj efter att forskare upptäckt skadliga PyPI-paket som i hemlighet installerar bakdörrar på Telegram-botservrar. Paketen utger sig för att vara legitima Pyrogram-forkar och ger angripare fjärråtkomst till komprometterade system. Därmed kan de köra kommandon, stjäla känslig information och behålla kontrollen över infekterade servrar under lång tid.

Forskarna på Checkmarx har döpt kampanjen till Operation Navy Ghost. Enligt dem har attackerna pågått sedan november 2025.

Skadliga PyPI-paket riktar in sig på Telegram-utvecklare

Checkmarx uppger att angriparna publicerade minst åtta skadliga PyPI-paket mellan november 2025 och juni 2026.

Samtliga paket utgav sig för att vara legitima versioner av Pyrogram, ett populärt Python-ramverk för utveckling av Telegram-botar och användarbotar.

Trots att det ursprungliga Pyrogram-projektet inte längre underhålls används det fortfarande flitigt. Biblioteket laddas ned omkring 350 000 gånger varje månad via PyPI och har dessutom över 1 400 forkar på GitHub.

Forskarna identifierade följande skadliga paket:

• VLifeGram
• VLife-Gram
• pyrogram-navy
• pyrogram-styled
• pyrogram-zeeb
• kelragram
• sepgram
• pyrogram-kelra

Tillsammans samlade paketen på sig tiotusentals nedladdningar innan forskarna avslöjade kampanjen.

Dold bakdörr ger angripare full kontroll

De skadliga PyPI-paketen innehåller den legitima Pyrogram-källkoden, vilket gör att de ser trovärdiga ut vid en första granskning.

Angriparna lade dock till en extra fil med namnet secret.py i ramverkets hjälpmoduler. När en infekterad Telegram-bot startar registrerar komponenten i det tysta dolda kommandon utan att utvecklaren märker något.

Kommandona gör det möjligt för angriparna att köra valfri Python-kod eller Linux-kommandon direkt på den komprometterade servern.

Skadekoden kan exempelvis läsa miljövariabler, öppna känsliga filer, köra shell-kommandon, ladda ned databaser, komma åt Telegram-chattar, hämta botsessioner och installera ytterligare skadlig kod.

Om resultatet blir större än Telegrams gräns för meddelanden skickar skadekoden automatiskt den stulna informationen tillbaka till angriparna som en dokumentbilaga.

Bakdörren riktar sig mot produktionsservrar

Checkmarx upptäckte att skadekoden endast aktiveras när den identifierar Telegram-botkonton.

Vanliga Telegram-användare påverkas däremot inte. Det tyder på att hotaktören medvetet riktar in sig på produktionsservrar där botar ofta har åtkomst till databaser, molntjänster, API-nycklar, autentiseringsuppgifter och annan känslig infrastruktur.

Dessutom undertrycker skadekoden felmeddelanden och stänger av loggning. På så sätt minskar risken för upptäckt samtidigt som den arbetar obemärkt i bakgrunden.

Forskarna hittade även en hårdkodad OWNERS-lista med Telegram-ID:n som ger angriparna exklusiv kontroll över infekterade system. Samma lista hindrar samtidigt bakdörren från att aktiveras om skadekoden körs på angriparnas egen infrastruktur.

Forskare kopplar kampanjen till en och samma aktör

De skadliga PyPI-paketen publicerades från flera olika konton. Trots det anser Checkmarx att en enda hotaktör ligger bakom hela kampanjen.

Bedömningen bygger på flera gemensamma kännetecken, bland annat identisk bakdörrskod, samma OWNERS-lista, identiska kommandon och överlappande infrastruktur.

Utvecklare som har installerat något av paketen bör omedelbart ta bort det. Därefter bör de byta samtliga autentiseringsuppgifter som finns på den berörda servern, återkalla alla Telegram-bottokens och genomföra en fullständig incidentutredning.

Checkmarx har dessutom publicerat indikatorer på kompromettering (IoC), inklusive de skadliga Telegram-ID:na och angriparnas profiladresser. Informationen hjälper organisationer att identifiera möjliga infektioner och avgöra om deras infrastruktur har komprometterats.