Eine Twitch-Erweiterung mit 30.000 Nutzern schickte deren Anmelde-Token still an einen russischen Bot-Dienst
Dreißigtausend Menschen installierten sie, um die Twitch-Werbung loszuwerden. Sie verschickte nebenbei ihre Anmelde-Token an jemand anderen.
Die Erweiterung heißt Twitch Enhanced Viewer | JeetBot und liegt seit Juni 2025 im Chrome Web Store, dazu ein paar hundert Nutzer bei Firefox. Oberflächlich tut sie, was Twitch-Zuschauer wirklich wollen: Werbung entfernen, 1080p erzwingen, wo die Streamqualität gedrosselt wird, Kanalpunkte selbstständig einsammeln. Die Forscher von Socket haben sie zerlegt und den Rest gefunden. Bei jedem angesehenen Stream griff das Add-on Ihr Twitch-OAuth-Sitzungstoken ab und hängte es als schlichten Parameter &auth= an eine Weiterleitung, geleitet über Proxy-Server eines russischen kommerziellen Bot-Dienstes, wo es im Klartext in den Anfrageprotokollen landet.
Dieses Token ist kein Passwort. Aus Sicht eines Angreifers ist es besser als eines. Es öffnet Ihren Chat, Ihre privaten Whispers und Ihre Kontoeinstellungen, und es kümmert sich nicht darum, ob Sie die Zwei-Faktor-Anmeldung aktiviert haben, denn die haben Sie ja schon passiert. Kush Pandya von Socket fand noch ein Detail, bei dem man einen Moment verweilen sollte: Zehn russischsprachige Kanäle standen fest einprogrammiert auf einer Ausnahmeliste, beim Zuschauen dort leckte also nichts. Das hat jemand bewusst so entschieden.
Der Entwickler, der sich Aleksandr Popov nennt, bezeichnete das Ganze als "ein Versehen" und hat eine Firefox-Version ausgeliefert, 85.8.7, ohne die Weiterleitung; eine Chrome-Fassung wartet auf die Prüfung. Für alle bereits Betroffenen ändert das nichts, denn ein abgeflossenes Token bleibt gültig, bis Sie es beenden. Entfernen Sie die Erweiterung, öffnen Sie dann die Twitch-Einstellungen und trennen Sie alle Sitzungen, bevor Sie sich wieder anmelden. Und falls Sie nicht mehr genau wissen, was sich über die Jahre sonst noch in Ihren Browser geschlichen hat: Die Sicherheitsprüfung von Tendvane listet die gefundenen Erweiterungen und Autostart-Einträge auf, auch die, an deren Zustimmung Sie sich nicht erinnern.