Uma campanha ativa desde novembro de 2025, denominada “Operation Navy Ghost”, tem como alvo desenvolvedores de bots para Telegram. A campanha cria pacotes maliciosos no repositório PyPI; os pacotes instalam um backdoor completo em servidores, conforme análise publicada pela Checkmarx no dia 25 de junho. Os atacantes publicaram pelo menos oito pacotes com nomes semelhantes ao legítimo ‘pyrogram’, que acumula quase 350 mil downloads mensais, e conseguiram que os pacotes contaminados tivessem mais de 25 mil downloads.
Mecanismo do ataque
Os pacotes falsos, como ‘pyrogram-navy’, ‘kelragram’ e ‘VLifeGram’, incluíam o código fonte original do pyrogram, mas adicionavam um arquivo oculto chamado ‘secret.py’ no módulo ‘helpers’. Este arquivo registra manipuladores de comandos no bot da vítima que permitem a execução de código Python arbitrário (comando /asu) ou comandos de shell (/asi) enviados pelo atacante via Telegram. O backdoor possui uma lista de IDs de Telegram dos atacantes, que atuam como “chaves mestras” para controle remoto.
A Checkmarx explica que o malware é ativado apenas em contas de bot (não em contas de usuário) e tem como alvo servidores de produção, onde os bots geralmente têm acesso a credenciais de nuvem, bancos de dados e APIs internas. O atacante pode ler qualquer arquivo do servidor, extrair variáveis de ambiente, acessar a sessão do Telegram, baixar bancos de dados e instalar backdoors persistentes. A exfiltração de dados ocorre pelo próprio Telegram, tornando a detecção por monitores de rede tradicional difícil.
Autores e recomendações
A Checkmarx atribui a campanha a um único ator ou grupo coordenado, baseando-se em IDs de Telegram compartilhados entre os pacotes e no código idêntico. Os pacotes maliciosos já foram removidos do PyPI, mas podem estar presentes em registros privados ou máquinas de desenvolvedores. A empresa recomenda que desenvolvedores verifiquem se instalaram algum dos pacotes listados, substituam pelo pacote legítimo ‘pyrogram’, rotacionem todas as credenciais acessíveis pelo servidor e revoguem tokens de bots. Indicadores de compromisso, incluindo IDs de Telegram e regras YARA, foram disponibilizados pela Checkmarx.
