O extensie de Twitch cu 30.000 de utilizatori le trimitea pe tăcute tokenurile de autentificare către un serviciu rusesc de boți

Treizeci de mii de oameni au instalat-o ca să scape de reclamele de pe Twitch. Trimitea, în paralel, și tokenurile lor de autentificare altcuiva.

Extensia se numește Twitch Enhanced Viewer | JeetBot și stă în Chrome Web Store din iunie 2025, plus câteva sute de utilizatori pe Firefox. La suprafață face ce își doresc cu adevărat spectatorii de pe Twitch: scoate reclamele, forțează 1080p acolo unde calitatea este limitată, strânge singură punctele de canal. Cercetătorii de la Socket au demontat-o și au găsit restul. De fiecare dată când urmăreai o transmisiune, extensia îți lua tokenul de sesiune OAuth de Twitch și îl agăța de o redirecționare ca simplu parametru &auth=, trecându-l prin servere proxy ale unui serviciu comercial rusesc de boți, unde ajunge în clar în jurnalele de cereri.

Tokenul acela nu este o parolă. Din punctul de vedere al unui atacator, este mai bun decât o parolă. Îți deschide chatul, mesajele private și setările contului, și nu îl interesează dacă ai autentificarea în doi pași activată, fiindcă pe aceea ai trecut-o deja. Kush Pandya, de la Socket, a observat încă un detaliu asupra căruia merită să zăbovești: zece canale în limba rusă erau înscrise într-o listă de excepții, așa că urmărirea lor nu scurgea nimic. Cineva a ales asta în mod deliberat.

Dezvoltatorul, care se prezintă drept Aleksandr Popov, a numit toată povestea "o scăpare" și a publicat o versiune pentru Firefox, 85.8.7, fără transmiterea tokenului; o versiune pentru Chrome așteaptă verificarea. Asta nu repară nimic pentru cei deja afectați, fiindcă un token scurs rămâne valabil până îl anulezi tu. Șterge extensia, apoi intră în setările Twitch și deconectează toate sesiunile înainte să te autentifici din nou. Iar dacă nu ești sigur ce altceva ți s-a strecurat în browser de-a lungul anilor, verificarea de siguranță din Tendvane îți listează extensiile și programele de pornire pe care le găsește, inclusiv pe cele pe care nu îți amintești să le fi acceptat.