Ondsindede PyPI-pakker installerer bagdøre på Telegram-botservere

Python-udviklere er blevet de seneste mål i en supply chain-kampagne, efter at forskere har opdaget ondsindede PyPI-pakker, som i hemmelighed installerer bagdøre på Telegram-botservere. Pakkerne udgiver sig for at være legitime Pyrogram-forks og giver angribere fjernadgang til kompromitterede systemer. Dermed kan de udføre kommandoer, stjæle følsomme data og bevare kontrollen over inficerede servere i længere tid.

Forskerne hos Checkmarx har døbt kampagnen Operation Navy Ghost. Ifølge dem har angrebene været aktive siden november 2025.

Ondsindede PyPI-pakker går efter Telegram-udviklere

Checkmarx oplyser, at angriberne offentliggjorde mindst otte ondsindede PyPI-pakker mellem november 2025 og juni 2026.

Alle pakkerne udgav sig for at være legitime versioner af Pyrogram, et populært Python-framework til udvikling af Telegram-bots og brugerbots.

Selvom det oprindelige Pyrogram-projekt ikke længere vedligeholdes, er det fortsat meget populært. Biblioteket bliver downloadet omkring 350.000 gange om måneden fra PyPI og har mere end 1.400 forks på GitHub.

Forskerne identificerede følgende ondsindede pakker:

• VLifeGram
• VLife-Gram
• pyrogram-navy
• pyrogram-styled
• pyrogram-zeeb
• kelragram
• sepgram
• pyrogram-kelra

Tilsammen blev pakkerne downloadet titusindvis af gange, før forskerne afslørede kampagnen.

Skjult bagdør giver angribere fuld kontrol

De ondsindede PyPI-pakker indeholder den legitime Pyrogram-kildekode, hvilket får dem til at se troværdige ud ved en almindelig gennemgang.

Angriberne indsatte dog en ekstra fil med navnet secret.py i frameworkets hjælpemoduler. Når en inficeret Telegram-bot starter, registrerer komponenten skjulte kommandohåndteringer uden at udvikleren bemærker det.

Kommandoerne gør det muligt for angriberne at køre vilkårlig Python-kode eller Linux-kommandoer direkte på den kompromitterede server.

Malwaren kan blandt andet læse miljøvariabler, åbne følsomme filer, udføre shell-kommandoer, hente databaser, få adgang til Telegram-chats, hente botsessioner og installere yderligere malware.

Hvis resultatet overstiger Telegrams grænse for beskedstørrelse, sender malwaren automatisk de stjålne data tilbage til angriberne som et dokumentvedhæftning.

Bagdøren retter sig mod produktionsservere

Checkmarx opdagede, at malwaren kun aktiveres, når den registrerer Telegram-botkonti.

Almindelige Telegram-brugere bliver derimod ikke ramt. Det tyder på, at trusselsaktøren bevidst går efter produktionsservere, hvor bots ofte har adgang til databaser, cloudtjenester, API-nøgler, legitimationsoplysninger og anden følsom infrastruktur.

Derudover undertrykker malwaren fejlmeddelelser og deaktiverer logning. På den måde bliver den sværere at opdage, mens den arbejder lydløst i baggrunden.

Forskerne fandt også en hardkodet OWNERS-liste med Telegram-ID’er, som giver angriberne eksklusiv kontrol over de inficerede systemer. Den samme liste forhindrer samtidig bagdøren i at blive aktiveret, hvis malwaren kører på angribernes egen infrastruktur.

Forskere forbinder kampagnen med én trusselsaktør

De ondsindede PyPI-pakker blev offentliggjort fra flere forskellige konti. Alligevel vurderer Checkmarx, at én og samme trusselsaktør står bag hele kampagnen.

Vurderingen bygger på flere fælles karakteristika, herunder identisk bagdørskode, den samme OWNERS-liste, identiske kommandonavne og overlappende infrastruktur.

Udviklere, som har installeret en af de berørte pakker, bør fjerne den med det samme. Derefter bør de udskifte alle legitimationsoplysninger på den berørte server, tilbagekalde alle Telegram-bottokens og gennemføre en fuld sikkerhedsundersøgelse.

Checkmarx har desuden offentliggjort indikatorer på kompromittering (IoC), herunder de ondsindede Telegram-ID’er og angribernes profiladresser. Oplysningerne kan hjælpe organisationer med at identificere mulige infektioner og afgøre, om deres infrastruktur er blevet kompromitteret.