Ondsinnede PyPI-pakker installerer bakdører på Telegram-botservere

Python-utviklere har blitt de nyeste målene i en supply chain-kampanje etter at forskere oppdaget ondsinnede PyPI-pakker som i hemmelighet installerer bakdører på Telegram-botservere. Pakkene utgir seg for å være legitime Pyrogram-forker og gir angripere ekstern tilgang til kompromitterte systemer. Dermed kan de kjøre kommandoer, stjele sensitiv informasjon og opprettholde kontroll over infiserte servere over lang tid.

Forskerne hos Checkmarx har gitt kampanjen navnet Operation Navy Ghost. Ifølge dem har angrepene vært aktive siden november 2025.

Ondsinnede PyPI-pakker retter seg mot Telegram-utviklere

Checkmarx opplyser at angriperne publiserte minst åtte ondsinnede PyPI-pakker mellom november 2025 og juni 2026.

Alle pakkene utga seg for å være legitime versjoner av Pyrogram, et populært Python-rammeverk for utvikling av Telegram-boter og brukerboter.

Selv om det opprinnelige Pyrogram-prosjektet ikke lenger vedlikeholdes, er det fortsatt svært populært. Biblioteket lastes ned rundt 350 000 ganger hver måned fra PyPI og har mer enn 1 400 forker på GitHub.

Forskerne identifiserte følgende ondsinnede pakker:

• VLifeGram
• VLife-Gram
• pyrogram-navy
• pyrogram-styled
• pyrogram-zeeb
• kelragram
• sepgram
• pyrogram-kelra

Til sammen ble pakkene lastet ned titusenvis av ganger før forskerne avslørte kampanjen.

Skjult bakdør gir angriperne full kontroll

De ondsinnede PyPI-pakkene inneholder den legitime Pyrogram-kildekoden, noe som gjør at de ser troverdige ut ved en overfladisk gjennomgang.

Angriperne la imidlertid til en ekstra fil med navnet secret.py i rammeverkets hjelpemoduler. Når en infisert Telegram-bot starter, registrerer komponenten skjulte kommandohåndterere uten at utvikleren merker det.

Disse kommandoene gjør det mulig for angriperne å kjøre vilkårlig Python-kode eller Linux-kommandoer direkte på den kompromitterte serveren.

Skadevaren kan blant annet lese miljøvariabler, åpne sensitive filer, kjøre shell-kommandoer, laste ned databaser, få tilgang til Telegram-samtaler, hente botsesjoner og installere ytterligere skadevare.

Hvis resultatet overstiger Telegrams meldingsgrense, sender skadevaren automatisk de stjålne dataene tilbake til angriperne som et dokumentvedlegg.

Bakdøren retter seg mot produksjonsservere

Checkmarx oppdaget at skadevaren bare aktiveres når den oppdager Telegram-botkontoer.

Vanlige Telegram-brukere blir derimot ikke rammet. Dette tyder på at trusselaktøren bevisst retter seg mot produksjonsservere, hvor botene ofte har tilgang til databaser, skytjenester, API-nøkler, legitimasjon og annen sensitiv infrastruktur.

I tillegg undertrykker skadevaren feilmeldinger og deaktiverer logging. Dermed blir det vanskeligere å oppdage aktiviteten mens den kjører i bakgrunnen.

Forskerne fant også en hardkodet OWNERS-liste med Telegram-ID-er som gir angriperne eksklusiv kontroll over infiserte systemer. Den samme listen hindrer dessuten bakdøren i å aktiveres dersom skadevaren kjøres på angripernes egen infrastruktur.

Forskere knytter kampanjen til én trusselaktør

De ondsinnede PyPI-pakkene ble publisert fra flere ulike kontoer. Likevel mener Checkmarx at én og samme trusselaktør står bak hele kampanjen.

Vurderingen bygger på flere felles kjennetegn, blant annet identisk bakdørkode, den samme OWNERS-listen, identiske kommandoer og overlappende infrastruktur.

Utviklere som har installert noen av pakkene, bør fjerne dem umiddelbart. Deretter bør de bytte alle legitimasjonsopplysninger som er lagret på den berørte serveren, tilbakekalle alle Telegram-bottokener og gjennomføre en fullstendig hendelsesundersøkelse.

Checkmarx har også publisert indikatorer på kompromittering (IoC), inkludert de ondsinnede Telegram-ID-ene og angripernes profiladresser. Denne informasjonen kan hjelpe organisasjoner med å oppdage mulige infeksjoner og avgjøre om infrastrukturen deres har blitt kompromittert.