Telegram中文网讯：自去年 11 月以来，一项针对使用木马化的 Pyrogram 分支构建 Telegram 机器人的 Python 开发人员的活动一直在进行，这些分支允许攻击者读取受感染服务器上的任意文件。
至少有八个软件包已发布在 Python 包索引 (PyPI) 上，这些软件包带有隐藏的后门，当导入 Pyrogram 或启动机器人时，辅助模块会激活该后门。
尽管 Pyrogram 项目已不再维护，但它仍然很受欢迎，在 PyPI 上每月下载量接近 35 万次(上次更新于 2023 年 4 月)，在 GitHub 上拥有超过 1400 个分支
Pyrogram 被描述为“一个优雅、现代且异步的 Telegram MTProto API 框架，使用 Python 编写，适用于用户和机器人”。简单来说，它允许开发者创建自动化机器人或用户机器人。
据应用安全公司 Checkmarx 的研究人员称，该威胁行为者将此次活动命名为“海军幽灵行动”，并在 2025 年 11 月至 2026 年 6 月期间在 PyPI 上发布了以下恶意 Pyrogram 分支：
VLifeGram(九个版本，下载量达 4,150 次)
VLife-Gram(五个版本，下载量 1,030 次)
pyrogram-navy(六个版本，下载量 2,530 次)
烙画风格(超过 16 个版本，共 15,370 个版本)
pyrogram-zeeb(一个版本，下载量 432 次)
kelragram(三个版本，下载次数 1,041 次)
sepgram(一个版本下载了 264 次)
pyrogram-kelra(一个版本，下载量 672 次)
所有软件包都是合法 Pyrogram 项目的分支，因为它们包含了原始源代码。然而，攻击者还在 helpers 模块中添加了一个名为 secret.py 的后门。
当受感染的机器人启动时，恶意文件会注册隐藏的 Telegram 命令处理程序，从而能够执行攻击者提供的 Python 代码或 shell 命令。
Checkmarx 解释说：“当攻击者向受害者的机器人发送 /asu print(os.environ) 时，该函数会在受害者的机器上编译并执行该 Python 代码，从而完全访问实时 Telegram 客户端、会话、聊天记录、联系人和环境变量。 ”
研究人员表示：“当攻击者发送 /asi cat /etc/passwd 时，这会在受害者的服务器上运行 /bin/bash -c “cat /etc/passwd” 并返回输出。”
“任何 shell 命令都可以重复此操作，并且该操作以受感染应用程序的权限运行，这意味着恶意软件可以访问和窃取受感染应用程序可以合法访问的任何内容。”
然后，命令输出通过 Telegram 消息返回，如果超过 4096 字节，则会将其作为文档附件发送给攻击者。
该后门程序包含一个硬编码的“所有者”列表，其中包含 Telegram ID，使攻击者能够独占控制权。该列表还有助于在攻击者的系统上启动后门程序时将其停用。
该恶意软件专门针对 Telegram 机器人帐户，设计为静默运行，抑制错误并禁用日志记录。
Checkmarx 的研究人员注意到，该后门仅在 Telegram 机器人帐户上激活，这些帐户通常在生产环境中运行，这是一个故意的功能，表明攻击者寻求“访问数据库、凭证、云 API 和敏感基础设施”。
一旦机器人被激活，攻击者就可以读取服务器上的任何文件、泄露机密信息、访问受害者的 Telegram 聊天记录、下载数据库，并安装持久性后门。
尽管这些软件包发布在不同的 PyPI 账户上，Checkmarx 仍将此次攻击活动归因于同一威胁行为者。这一结论基于以下几点：不同软件包共享相同的所有者列表、相同的后门代码、相同的命令名称以及重叠的基础设施。
安装了所列软件包的开发者应立即将其删除，轮换受影响服务器上的所有凭据，并撤销其 Telegram 机器人令牌。
Checkmarx 已公布了恶意 Telegram ID 的入侵指标以及攻击者的个人资料 URL。
