Расширение для Twitch с более чем 30 тысячами установок передавало токены пользователей
Проблему нашли специалисты Socket. 16 сентября разработчик выпустил версию 85.8.7 без передачи токена, но не согласился называть расширение вредоносным.
Компания Socket выяснила, что браузерное расширение «Twitch Enhanced Viewer | JeetBot» перехватывало OAuth-токены пользователей Twitch. Расширение распространялось через Chrome Web Store и Firefox Add-ons, число установок разные издания оценивают в 30–31 тыс. Анализ Socket 14 сентября пересказал BleepingComputer.
В магазинах расширение рекламировалось как блокировщик рекламы с принудительным качеством 1080p, обходом региональных ограничений и сбором баллов канала. В листинге Chrome при этом было указано, что разработчик не собирает информацию о пользователях.
Расширение брало токен из заголовка авторизации веб-клиента Twitch и добавляло его к запросам, которые шли через прокси JeetBot. Это русскоязычный сервис чат-ботов, он работает также с Kick и VK Live. Перехват срабатывал на всех каналах, кроме десяти русскоязычных, прописанных в коде.
«Поскольку токен помещается в строку запроса URL, он открытым текстом записывается в логи запросов прокси-сервера», — говорится в анализе Socket. По словам исследователей, ранние версии расширения отправляли токены на отдельный эндпоинт инфраструктуры JeetBot.
16 сентября разработчик выпустил версию 85.8.7, которая больше не передаёт токен. Считать расширение вредоносным он отказался, об этом BleepingComputer сообщил в обновлении к материалу. Socket советует удалить расширение, завершить все сессии Twitch и войти в аккаунт заново. О случае также написал CyberInsider.