Dodatek do Twitcha z 30 000 użytkowników po cichu wysyłał ich tokeny logowania do rosyjskiej usługi botów

Trzydzieści tysięcy osób zainstalowało je, żeby pozbyć się reklam na Twitchu. Przy okazji wysyłało ich tokeny logowania komuś innemu.

Rozszerzenie nazywa się Twitch Enhanced Viewer | JeetBot i leży w Chrome Web Store od czerwca 2025 roku, plus kilkaset osób na Firefoksie. Na pierwszy rzut oka robi to, czego widzowie Twitcha naprawdę chcą: usuwa reklamy, wymusza 1080p tam, gdzie jakość jest ograniczona, sam zbiera punkty kanału. Badacze z Socket rozłożyli je na części i znaleźli resztę. Przy każdym oglądanym streamie dodatek przechwytywał wasz token sesji OAuth Twitcha i doczepiał go do przekierowania jako zwykły parametr &auth=, przepuszczając przez serwery proxy należące do rosyjskiej komercyjnej usługi botów, gdzie ląduje otwartym tekstem w logach żądań.

Ten token to nie hasło. Z punktu widzenia atakującego jest lepszy niż hasło. Otwiera wasz czat, prywatne wiadomości i ustawienia konta, i nie obchodzi go, czy macie włączone logowanie dwuskładnikowe, bo je już przeszliście. Kush Pandya z Socket zauważył jeszcze jeden szczegół wart zatrzymania: dziesięć rosyjskojęzycznych kanałów wpisano na stałą listę wyjątków, więc ich oglądanie niczego nie wyciekało. Ktoś podjął taką decyzję świadomie.

Deweloper, który przedstawia się jako Aleksandr Popov, nazwał całą sprawę "przeoczeniem" i wypuścił wersję dla Firefoksa, 85.8.7, bez przekazywania tokenu; wersja dla Chrome czeka na weryfikację. Nikomu, kto już ucierpiał, to nie pomoże, bo token, który wyciekł, pozostaje ważny, dopóki go nie unieważnicie. Usuńcie rozszerzenie, potem wejdźcie w ustawienia Twitcha i rozłączcie wszystkie sesje, zanim zalogujecie się ponownie. A jeśli nie jesteście pewni, co jeszcze przez lata wkradło się do waszej przeglądarki, kontrola bezpieczeństwa w Tendvane wypisuje znalezione rozszerzenia i programy startowe, także te, na które nie pamiętacie, żebyście się zgadzali.