Un'estensione Twitch con 30.000 utenti spediva di nascosto i token di accesso a un servizio di bot russo
Trentamila persone l'hanno installata per liberarsi della pubblicità su Twitch. Spediva anche i loro token di accesso a qualcun altro.
L'estensione si chiama Twitch Enhanced Viewer | JeetBot ed è sul Chrome Web Store da giugno 2025, con qualche centinaio di utenti in più su Firefox. In superficie fa quello che gli spettatori di Twitch vogliono davvero: toglie la pubblicità, forza il 1080p dove la qualità è limitata, raccoglie da sola i punti canale. I ricercatori di Socket l'hanno smontata e hanno trovato il resto. A ogni stream guardato, il componente aggiuntivo prendeva il vostro token di sessione OAuth di Twitch e lo agganciava a un reindirizzamento come semplice parametro &auth=, facendolo passare da server proxy di un servizio commerciale di bot russo, dove finisce in chiaro nei registri delle richieste.
Quel token non è una password. Dal punto di vista di un attaccante vale di più. Apre la vostra chat, i vostri messaggi privati e le impostazioni del vostro account, e non gli interessa se avete attivato la verifica in due passaggi, perché quella l'avete già superata. Kush Pandya di Socket ha notato un altro dettaglio su cui vale la pena fermarsi: dieci canali in lingua russa erano scritti dentro una lista di esenzione, quindi guardare quelli non faceva trapelare nulla. Qualcuno ha scelto così di proposito.
Lo sviluppatore, che si presenta come Aleksandr Popov, ha definito tutto questo "una svista" e ha pubblicato una versione Firefox, la 85.8.7, senza l'inoltro; una versione Chrome attende la revisione. Non risolve niente per chi è già stato colpito, perché un token che è uscito resta valido finché non lo si annulla. Rimuovete l'estensione, poi aprite le impostazioni di Twitch e disconnettete tutte le sessioni prima di rientrare. E se non ricordate con precisione cos'altro si è infilato nel vostro browser negli anni, il controllo di sicurezza di Tendvane elenca le estensioni e i programmi all'avvio che trova, compresi quelli a cui non ricordate di aver dato il consenso.