Twitch-тің зиянды кеңейтімі 31 000-ға жуық пайдаланушының OAuth токендерін таратты
Материал бірнеше дереккөз негізінде жасанды интеллектпен дайындалды — түпнұсқаларға сілтемелер төменде.
«Twitch Enhanced Viewer | JeetBot» деп аталатын зиянды браузер кеңейтімі 31 000-ға жуық пайдаланушының OAuth токендерін ресейлік коммерциялық бот-сервистің прокси-серверлеріне таратты. Chrome және Firefox-та қолжетімді кеңейтім он ресейлік стримердің қатаң белгіленген тізімінен басқа әрбір қаралған канал үшін токендерді жіберіп отырды. Токендер ашық түрде сұрау параметрлері ретінде беріліп, чатқа, жеке хабарламаларға және аккаунт параметрлеріне қол жеткізуді ашты.
Негізгі фактілер
- «Twitch Enhanced Viewer | JeetBot» кеңейтімі Chrome-да 30 000, Firefox-та 604 пайдаланушыға ие.
- Ағымдағы v85.x құрастырылымдары OAuth токенін &auth= параметрі ретінде оператор проксиіне он қатаң белгіленген ресейлік стримерден басқа әрбір канал үшін жібереді.
- Оператор — Twitch, Kick және VK-Live үшін кең Twitch хост құқықтары бар коммерциялық SaaS бот-сервисі.
- Бұрынғы v4.x құрастырылымдары токенді POST әдісімен оператор хостындағы арнайы set-token эндпоинтіне, deno.dev және deno.net-тегі резервтік көшірмелерімен жіберген.
- JeetBot 26 000-нан астам белсенді стример және 1 миллиард өңделген хабарлама туралы мәлімдейді.
Кеңейтім мәліметтері
Кеңейтім әзірлеуші ретінде HISHIMIRO/jeetbot.cc көрсетеді және Chrome Web Store мен Mozilla Firefox Add-Ons-та жарияланған. Chrome нұсқасы 30 000 пайдаланушыға ие және 2025 жылғы 26 маусымда жарияланған; Firefox нұсқасы 604 пайдаланушыға ие және 2025 жылғы 7 шілдеде жарияланған. Кеңейтім сипаттамасында: «JeetBot — сапаны, ыңғайлылықты және бақылауды бағалайтын стримерлер мен көрермендерге арналған заманауи құрал» делінген және ол «Twitch мүмкіндіктерін кеңейтеді: шектеулі аймақтар үшін 1080p ағыны» деп мәлімдейді.
Токен тарату механизмі
Socket қауіпсіздік зерттеушісі Куш Пандья ағымдағы v85.x құрастырылымдары токенді желілік қайта бағыттау кезінде оператор проксиіне &auth= параметрі ретінде жолға қосатынын хабарлады. Токен әрбір қаралған канал үшін жіберіледі, тек сессиялары жіберуден босатылған он ресейлік стримердің қатаң белгіленген тізімінен басқа. Кеңейтім Twitch бейне плейлист сұрауларын оператордың прокси-серверлері арқылы «usher.ttvnw[.]net» мекенжайына пайдаланушының OAuth токенімен бірге «&auth=» параметрі ретінде бағыттайды. Токен URL сұрау жолына орналастырылғандықтан, ол прокси-сервердің сұрау журналдарында ашық түрде жазылады.
Алып тасталған каналдар
Токен қайта бағыттау механизмі 10 Twitch каналының қатаң белгіленген тізімі үшін алынып тасталған, олардың көпшілігі орыстілді стримерлер. Тізімге pch3lk1n (580 мың жазылушы), fasoollka (361 мың), flamie (132 мың), dosia (29), fander (2), almazer (4), forzorezor (177 мың), akyuliych (1,1 млн), lagoda1337 (225 мың) және lagoda (77,3 мың) кіреді. Осы тізімнен тыс кез келген канал үшін пайдаланушының тірі токені проксиге жіберіледі.
1 дереккөз
Уақыт · артта қалуы