Se ha descubierto un paquete malicioso de Python llamado pyronut en el Python Package Index (PyPI), dirigido a desarrolladores que crean bots de Telegram al hacerse pasar por el popular framework pyrogram.

En lugar de depender del typosquatting —donde el nombre se asemeja a uno legítimo—, el actor de amenazas copió la descripción completa del proyecto de pyrogram palabra por palabra, creando lo que los investigadores describen como un fork malicioso, una copia troyanizada diseñada para llegar a las víctimas mediante ingeniería social.

El framework pyrogram atrae aproximadamente 370.000 descargas al mes, lo que lo convierte en un objetivo de alto valor para este tipo de suplantación.

Pyronut copió la página del proyecto de pyrogram sin añadir ninguna nueva funcionalidad, y la URL de su repositorio en GitHub apuntaba a una página que no existía.

Esto sugiere que el paquete se distribuyó a través de comunidades de Telegram y foros de desarrolladores, en lugar de ser descubierto por accidente. Se publicaron tres versiones —2.0.184, 2.0.185 y 2.0.186—, todas maliciosas.

Investigadores de Endor Labs identificaron las tres versiones el 18 de marzo de 2026 —el mismo día en que aparecieron en PyPI— y las pusieron en cuarentena en cuestión de horas. Esta rápida respuesta mantuvo la ventana de ataque corta y redujo el número de desarrolladores en riesgo.

Sin embargo, cualquier desarrollador cuyo bot ejecutara el paquete durante ese breve período quedó completamente expuesto a un compromiso.

Lo que hizo que pyronut fuera especialmente difícil de detectar fue su estrategia de activación en tiempo de ejecución. A diferencia de la mayoría de los paquetes maliciosos que ejecutan código dañino a través de hooks en setup.py durante la instalación, pyronut permaneció completamente inactivo hasta que un desarrollador ejecutaba su bot.

Incrustó un módulo de puerta trasera oculto en pyrogram/helpers/secret.py, que se cargaba silenciosamente cada vez que se iniciaba el cliente de Telegram, eludiendo por completo los controles de seguridad estándar durante la instalación.

Las consecuencias de una infección exitosa eran graves. Una vez activada la puerta trasera, el atacante obtenía capacidades duales de Ejecución Remota de Código (RCE): el poder de ejecutar código Python arbitrario y comandos de shell en la máquina de la víctima.

Esto abría la puerta al robo de credenciales, exfiltración de datos, movimiento lateral entre sistemas y la toma completa de la sesión activa de Telegram de la víctima.

Puerta trasera en tiempo de ejecución: cómo operaba el ataque

La puerta trasera se activaba en el momento en que un desarrollador llamaba al método Client.start(), un paso esencial en la inicialización de cualquier bot de Telegram basado en pyrogram.

El actor de amenazas había modificado este método dentro de pyrogram/methods/utilities/start.py para importar y ejecutar silenciosamente el módulo oculto secret.py cada vez que se iniciaba un cliente.

De manera crítica, toda la llamada estaba envuelta en un bloque try/except: pass, por lo que si la puerta trasera encontraba algún error, fallaba sin emitir señales y el bot continuaba ejecutándose con normalidad.

Una vez en funcionamiento, la puerta trasera registraba dos manejadores de mensajes ocultos en el cliente de Telegram de la víctima, vinculados a dos IDs de cuentas del atacante codificados.

El primer manejador, activado por el comando /e, utilizaba la biblioteca meval para ejecutar código Python arbitrario dentro de la sesión activa, otorgando acceso completo a mensajes, contactos y funciones de la API de Telegram.

El segundo manejador, /shell, pasaba comandos directamente a /bin/bash mediante subprocess, dando al atacante acceso ilimitado al sistema. La puerta trasera también omitía la instalación en las cuentas propias del atacante, una clara señal de intención maliciosa deliberada.

Las salidas de los comandos se enviaban de vuelta al atacante a través de Telegram, con los resultados devueltos en el mismo chat donde se emitían los comandos.

Esto significaba que la operación no dejaba conexiones de red externas inusuales, consultas DNS sospechosas ni dominios de C2 que las herramientas de monitoreo pudieran detectar, haciendo que la puerta trasera fuera extremadamente difícil de identificar mediante análisis de red convencionales.

Los desarrolladores que puedan haber instalado pyronut deben desinstalar el paquete de inmediato y reconstruir los entornos virtuales afectados desde un estado limpio y verificado.

Todas las variables de entorno, claves API, claves SSH y contraseñas de bases de datos accesibles para el proceso comprometido deben considerarse expuestas y rotarse de inmediato. Las sesiones activas de Telegram deben terminarse y todos los tokens de la API de Bots revocarse al instante.

Los archivos de dependencias como requirements.txt, Pipfile y pyproject.toml deben revisarse periódicamente en busca de paquetes inesperados, y se deben usar archivos de bloqueo con fijación de hash criptográfico para evitar sustituciones silenciosas.

Ejecutar aplicaciones bajo el principio de mínimo privilegio e integrar herramientas de Análisis de Composición de Software en las pipelines de CI/CD reducirá significativamente la exposición a ataques similares en la cadena de suministro.