Chiến dịch PyPI độc hại cài backdoor vào các gói giả mạo Pyrogram để chiếm quyền bot Telegram
"Researchers identified a campaign dubbed Operation Navy Ghost in which at least eight trojanized PyPI packages posing as Pyrogram forks were used to backdoor Telegram bot servers. The hidden payload activates on bot startup, allowing attackers to execute arbitrary Python or shell commands, read files, exfiltrate secrets, and access Telegram sessions; affected developers are advised to remove the packages, rotate credentials, and revoke bot tokens."
Chiến dịch cho phép chiếm quyền bot Telegram thông qua backdoor trong các gói PyPI giả mạo, dẫn tới khả năng thực thi lệnh tùy ý và truy cập/exfiltrate dữ liệu từ môi trường chạy bot.
Rủi ro gián đoạn dịch vụ bot và rò rỉ dữ liệu khách hàng/đối tác do bot tokens và phiên Telegram có thể bị lạm dụng; chi phí xử lý tăng do cần thu hồi token và quay vòng thông tin xác thực.
Các nhà nghiên cứu ghi nhận một chiến dịch được gắn tên Operation Navy Ghost nhắm vào nhà phát triển Python xây dựng bot Telegram. Từ khoảng tháng 11/2025 đến tháng 6/2026, kẻ tấn công đăng lên PyPI ít nhất 8 gói giả mạo các nhánh của Pyrogram, trong đó có backdoor được kích hoạt khi bot khởi động hoặc khi import các helper module.
Dù Pyrogram không còn được duy trì chính thức, thư viện vẫn phổ biến (ước tính ~350.000 lượt tải/tháng theo dữ liệu được trích dẫn trong bài). Các gói độc hại chứa mã nguồn tương tự dự án gốc nhưng bổ sung tệp secret.py trong module helper. Khi bot chạy, backdoor đăng các Telegram command handler ẩn, cho phép kẻ tấn công thực thi Python code hoặc lệnh shell do kẻ tấn công cung cấp.
Kết quả lệnh được gửi lại qua tin nhắn Telegram; nếu vượt 4096 bytes thì được gửi dưới dạng tệp đính kèm. Malware được thiết kế để hoạt động âm thầm, suppress lỗi và tắt logging, đồng thời chỉ kích hoạt trên tài khoản bot Telegram.
Khuyến nghị: gỡ bỏ ngay các gói PyPI liên quan, rotate credentials trên máy chủ bị ảnh hưởng và revoke bot tokens; đồng thời rà soát Indicators of Compromise do nhóm nghiên cứu công bố.