Вредоносное расширение Twitch слило OAuth-токены почти 31 000 пользователей
Материал подготовлен искусственным интеллектом на основе нескольких источников — ссылки на оригиналы приведены ниже.
Вредоносное браузерное расширение Twitch под названием «Twitch Enhanced Viewer | JeetBot» слило OAuth-токены почти 31 000 пользователей на прокси-серверы российского коммерческого бот-сервиса. Расширение, доступное в Chrome и Firefox, пересылало токены для каждого просматриваемого канала, кроме жёстко заданного списка из десяти российских стримеров. Токены передавались в открытом виде как параметры запроса, открывая доступ к чату, личным сообщениям и настройкам аккаунта.
Ключевые факты
- Расширение «Twitch Enhanced Viewer | JeetBot» имеет 30 000 пользователей в Chrome и 604 в Firefox.
- Текущие сборки v85.x пересылают OAuth-токен как параметр &auth= на прокси оператора для каждого канала, кроме десяти жёстко заданных российских стримеров.
- Оператор — коммерческий бот-сервис SaaS для Twitch, Kick и VK-Live с широкими правами хоста Twitch.
- Более ранние сборки v4.x отправляли токен методом POST на выделенный эндпоинт set-token на хосте оператора с резервными копиями на deno.dev и deno.net.
- JeetBot заявляет о более чем 26 000 активных стримеров и 1 миллиарде обработанных сообщений.
Детали расширения
Расширение указывает HISHIMIRO/jeetbot.cc как разработчика и опубликовано в Chrome Web Store и Mozilla Firefox Add-Ons. Версия для Chrome имеет 30 000 пользователей и опубликована 26 июня 2025 года; версия для Firefox имеет 604 пользователя и опубликована 7 июля 2025 года. В описании расширения говорится: «JeetBot — это современный инструмент для стримеров и зрителей, которые ценят качество, удобство и контроль», и утверждается, что оно «расширяет возможности Twitch: поток 1080p для регионов с ограничениями».
Механизм утечки токенов
Исследователь безопасности Socket Куш Пандья сообщил, что текущие сборки v85.x пересылают токен в строке как параметр &auth= при сетевом перенаправлении на прокси оператора. Токен пересылается для каждого просматриваемого канала, кроме жёстко заданного списка из десяти российских стримеров, чьи сессии освобождены от пересылки. Расширение направляет запросы видеоплейлистов Twitch к «usher.ttvnw[.]net» через прокси-серверы оператора вместе с OAuth-токеном пользователя в виде параметра «&auth=». Поскольку токен помещается в строку запроса URL, он записывается в открытом виде в журналы запросов прокси-сервера.
Исключённые каналы
Механизм перенаправления токенов исключён для жёстко заданного списка из 10 каналов Twitch, большинство из которых — русскоязычные стримеры. В список входят pch3lk1n (580 тыс. подписчиков), fasoollka (361 тыс.), flamie (132 тыс.), dosia (29), fander (2), almazer (4), forzorezor (177 тыс.), akyuliych (1,1 млн), lagoda1337 (225 тыс.) и lagoda (77,3 тыс.). Для любого канала вне этого списка живой токен пользователя пересылается на прокси.
1 источник
Время · отставание