Hacker kapern Telegram-Bot-Server via PyPI

Eine bösartige PyPI-Kampagne inszeniert gefälschte Pyrogram-Pakete, um Schadcode auf Telegram-Bot-Servern auszuführen und Daten zu exfiltrieren.

Die Sicherheitsfirma Checkmarx hat eine seit November 2025 aktive Kampagne namens Operation Navy Ghost aufgedeckt. Angreifer zielen dabei auf Python-Entwickler ab, die automatisierte Telegram-Bots erstellen. Hierzu wurden manipulierte Varianten des populären, aber seit April 2023 nicht mehr offiziell gepflegten Frameworks Pyrogram im offiziellen Paketindex PyPI platziert. Trotz des Entwicklungsstopps verzeichnet das originale Pyrogram-Projekt weiterhin hohe Downloadzahlen.

Identifizierte Schadpakete und Downloadzahlen

Die Schadsoftware wurde über verschiedene Benutzerkonten verbreitet, lässt sich jedoch aufgrund identischer Infrastruktur und Code-Überschneidungen einem einzelnen Akteur zuordnen. Zu den betroffenen Paketen gehören unter anderem:

• VLifeGram
• VLife-Gram
• pyrogram-navy
• pyrogram-styled
• pyrogram-zeeb
• kelragram
• sepgram
• pyrogram-kelra

Insgesamt wurden die manipulierten Programmbibliotheken bereits mehr als 25.000 Mal heruntergeladen.

Technische Funktionsweise der Hintertür für Telegram

Die Pakete enthalten den legitimen Quellcode, wurden jedoch im Hilfsmodul um eine Schaddatei namens secret.py erweitert. Diese Datei registriert beim Start des Bots verdeckte Befehlshandler für Telegram. Dadurch können die Angreifer über spezifische Chat-Befehle Python-Code oder Systembefehle auf dem Server einschleusen. Die Forscher beschreiben die Ausführung von Python-Code wie folgt:

„Wenn der Angreifer /asu print(os.environ) an den Bot des Opfers sendet, kompiliert und führt diese Funktion diesen Python-Code auf dem Rechner des Opfers aus — mit vollem Zugriff auf den Live-Telegram-Client, die Sitzung, Chats, Kontakte und Umgebungsvariablen.“

Sicherheitsforscher von Checkmarx

Für den Aufruf von Systembefehlen gilt laut dem Bericht: „Wenn der Angreifer /asi cat /etc/passwd sendet, führt dies /bin/bash -c „cat /etc/passwd“ auf dem Server des Opfers aus und gibt die Ausgabe zurück.“ Die Tragweite dieser Rechte wird in der Analyse weiter konkretisiert: „Dies ist mit jedem Shell-Befehl wiederholbar und läuft unter der Autorität der infizierten Anwendung, was bedeutet, dass die Schadsoftware auf alles zugreifen und exfiltrieren kann, worauf die infizierte Anwendung rechtmäßig zugreifen könnte.“

Zielgerichtete Spionage und Gegenmaßnahmen

Die Schadsoftware unterdrückt Fehlermeldungen sowie Protokollierungen und wird gezielt nur dann aktiv, wenn es sich um ein echtes Telegram-Bot-Konto handelt. Diese Konten laufen meist in Produktionsumgebungen, wodurch die Angreifer Zugriff auf Datenbanken, Cloud-Schnittstellen und Server-Anmeldedaten erlangen. Die erbeuteten Daten werden als Textnachricht oder bei größeren Datenmengen als Dokumentenanhang über Telegram an die Infrastruktur der Angreifer gesendet. Eine integrierte Liste mit festgelegten Telegram-IDs sorgt dafür, dass nur die Urheber der Kampagne die Kontrolle über die infizierten Systeme ausüben können. Entwicklern wird dringend empfohlen, die betroffenen Pakete zu entfernen, Tokens zu widerrufen und Zugangsdaten auf den betroffenen Servern zu ändern.

(red)