Schädliche Twitch-Erweiterung legte OAuth-Tokens von knapp 31.000 Nutzern offen

Einträge in Chrome und Firefox verbreiteten die Erweiterung

Eine Browser-Erweiterung, die ein verbessertes Twitch-Erlebnis versprach, übermittelte die OAuth-Sitzungstokens der Nutzer an eine Proxy-Infrastruktur, die mit JeetBot verbunden ist – einem kommerziellen Bot-Dienst für Twitch, Kick und VK Live.

Die Erweiterung mit dem Namen „Twitch Enhanced Viewer | JeetBot“ wurde sowohl über den Google Chrome Web Store als auch über Mozilla Firefox Add-ons verbreitet. Als Entwickler nennt sie HISHIMIRO/jeetbot.cc.

Die Chrome-Version verwendet die Kennung pnhhdhhcadcjfckjhpmjneldiegbojfb. Sie wurde am 26. Juni 2025 veröffentlicht und hatte ungefähr 30.000 Nutzer. Das Firefox-Paket mit der Kennung [email protected] wurde am 7. Juli 2025 veröffentlicht und hatte 604 Nutzer.

Zusammengenommen waren damit knapp 31.000 Menschen betroffen. Beide Versionen standen noch zum Download bereit, als die Sicherheitsforscher ihre Ergebnisse veröffentlichten. Zu diesem Zeitpunkt waren also weiterhin neue Installationen möglich.

In den Store-Beschreibungen wurden Funktionen wie werbefreies Streaming, der Zugriff auf regional eingeschränkte Inhalte und die Unterstützung von Streams in 1080p beworben, wenn diese Qualität andernfalls nicht verfügbar gewesen wäre. Nicht erwähnt wurde, dass authentifizierter Twitch-Datenverkehr über eine von den Betreibern der Erweiterung kontrollierte Infrastruktur geleitet wurde.

Das Abfangen von Playlist-Anfragen legte Live-Bearer-Credentials offen

Die Erweiterung fängt Video-Playlist-Anfragen von Twitch ab, die an usher.ttvnw[.]net gesendet werden. Statt diese Anfragen direkt an die Auslieferungsinfrastruktur von Twitch zu senden, leitet sie sie über externe Proxy-Server um.

Allein diese Architektur schafft bereits eine erhebliche Vertrauensabhängigkeit. In aktuellen v85.x-Versionen extrahiert die Erweiterung außerdem das Twitch-OAuth-Token des Zuschauers und hängt es mithilfe des Query-Parameters &auth= an die umgeleitete URL an.

Dadurch wird das Token bei jedem Aufruf eines von der Weiterleitungslogik erfassten Kanals an den Proxy gesendet. Da die Zugangsdaten in der URL enthalten sind, können herkömmliche Proxy-Logs sie im Klartext speichern.

Das beschränkt sich nicht auf eine einmalige Installation oder Anmeldung. Eine betroffene Installation kann das aktive Token wiederholt übertragen, während der Nutzer geeignete Twitch-Streams öffnet. Durch eine Aktualisierung oder Deaktivierung der Erweiterung wird die Weiterleitung künftig gestoppt; bereits in entfernten Logs oder anderen Backend-Systemen gespeicherte Zugangsdaten lassen sich dadurch jedoch nicht zurückholen.

Frühere v4.x-Versionen verwendeten einen anderen Mechanismus zur Erfassung. Version 4.8, die offenbar aus dem Januar 2026 stammt, übermittelte das Token per HTTP-POST-Anfrage an einen vom Betreiber gehosteten set-token-Endpunkt. Außerdem enthielt sie eine Fallback-Infrastruktur auf deno.dev und deno.net.

Der Sicherheitsforscher Kush Pandya von Socket dokumentierte die Token-Verarbeitung und die gezielten Ausnahmen für bestimmte Kanäle.

Zehn Kanäle waren von der Token-Weiterleitung ausgenommen

Der Code von v85.x enthält Ausnahmen für zehn bestimmte Twitch-Kanäle. Nutzern, die diese Kanäle sahen, wurden ihre Tokens nicht über denselben Proxy-Pfad übermittelt:

• pch3lk1n — 580.000 Follower
• fasoollka — 361.000 Follower
• flamie — 132.000 Follower
• dosia — 29 Follower
• fander — 2 Follower
• almazer — 4 Follower
• forzorezor — 177.000 Follower
• akyuliych — 1,1 Millionen Follower
• lagoda1337 — 225.000 Follower
• lagoda — 77.300 Follower

Bei den meisten handelt es sich um russischsprachige Streamer. Warum gerade diese Kanäle geschützt wurden, ist bislang nicht geklärt. Die Liste reicht von Accounts mit nur wenigen Followern bis zu einem Account mit mehr als einer Million Followern.

Bei allen anderen Kanälen leitete die Erweiterung die authentifizierte Playlist-Anfrage des Zuschauers über den Proxy und fügte die OAuth-Zugangsdaten hinzu. Die fest im Code verankerten Ausnahmen zeigen, dass die Token-Weiterleitung selektiv gesteuert wurde und keine zwangsläufige Folge des Abrufs von Twitch-Playlists war.

Ein gestohlenes Token kann ohne Passwort den Kontozugriff ermöglichen

Bei dem offengelegten Wert handelt es sich um ein Bearer-Credential für eine authentifizierte Twitch-Sitzung. Es ist daher deutlich sensibler als eine Gerätekennung, eine Browsereinstellung oder ein gewöhnliches Telemetriedatum.

Wer über ein gültiges Token verfügt, kann möglicherweise über das zugehörige Konto handeln, ohne dessen Passwort einzugeben oder eine zusätzliche Authentifizierungsprüfung zu absolvieren. Welche Aktionen genau möglich sind, hängt von der Sitzung und den mit dem Token verknüpften Berechtigungen ab.

Mögliche Folgen sind:

• Twitch-Flüsternachrichten lesen oder senden, einschließlich privater Unterhaltungen
• Nachrichten unter der Identität des Opfers veröffentlichen
• Auf Kontoeinstellungen zugreifen
• Gesammelte Kanalpunkte ausgeben
• Andere für die aktive Sitzung autorisierte Aktionen durchführen

Ein gültiges Token muss das zugrunde liegende Passwort nicht preisgeben, um missbraucht werden zu können. Es steht für einen bereits authentifizierten Status. Deshalb reicht es möglicherweise nicht aus, lediglich das Passwort zu ändern oder zu schützen, um eine offengelegte Sitzung zu neutralisieren.

Das wiederholte Übertragungsmodell erhöht das Risiko zusätzlich. Selbst wenn eine protokollierte Kopie abläuft, könnte eine weiterhin nicht korrigierte Erweiterung beim Ansehen eines anderen Kanals ein neueres, noch aktives Token übertragen.

Es gibt keine bestätigten öffentlichen Hinweise darauf, dass die abgefangenen Zugangsdaten bereits zur Übernahme von Twitch-Konten verwendet wurden. Die Möglichkeit, knapp 31.000 authentifizierte Sitzungen zu erfassen, kombiniert mit potenziellen Proxy-Logs im Klartext, eröffnet jedoch einen direkten Weg zum Missbrauch von Konten.

Infrastruktur mit dem JeetBot-Dienst verbunden

Die Proxy-Systeme stehen mit JeetBot in Verbindung, das Automatisierungs- und Funktionen zur Interaktion mit dem Publikum für Twitch, Kick und VK Live anbietet. Zu den beworbenen Funktionen gehören Text-to-Speech für Nachrichten, automatische Übersetzungen und weitere Werkzeuge zur Interaktion mit Zuschauern.

JeetBot gibt an, mehr als 26.000 aktive Streamer und eine Milliarde verarbeitete Nachrichten zu haben. Berichten zufolge verfügt der Dienst über weitreichende Twitch-Host-Berechtigungen und leitet authentifizierte Live-Sitzungen über seine eigene Infrastruktur weiter.

Im Footer der Website des Dienstes wird Aleksandr Popov, ein Entwickler mit Sitz in Zypern, als Betreiber genannt. Popovs LinkedIn-Profil beschreibt JeetBot als persönliches Projekt.

Diese Verbindungen identifizieren den mit der Infrastruktur verbundenen Dienst. Eine zusätzliche Stellungnahme des Entwicklers lag in den veröffentlichten Ergebnissen jedoch nicht vor. Wie lange Proxy-Logs letztlich gespeichert werden, wie viele Tokens noch gültig sind und ob Dritte auf die erfassten Zugangsdaten zugegriffen haben, ist unbekannt.

Firefox-Nutzer können aktualisieren, Chrome-Nutzer sollten die Erweiterung deaktivieren

In der Dokumentation von JeetBot heißt es nun, dass Firefox-Version 85.8.7 den Abruf von Playlists so ändert, dass Twitch-OAuth-Tokens nicht mehr an die Proxy-Server des Dienstes gesendet werden. Firefox-Nutzer sollten überprüfen, ob sie 85.8.7 oder höher verwenden.

Die entsprechende korrigierte Chrome-Version befand sich zum Zeitpunkt der Veröffentlichung des Berichts noch in der Prüfung. Chrome-Nutzer, die keine fehlerbereinigte Version erhalten können, sollten die Erweiterung umgehend deaktivieren oder entfernen. Bestehende Installationen leiten Zugangsdaten weiterhin weiter, bis sie aktualisiert oder deaktiviert werden.

Nutzer sollten nach diesen Erweiterungskennungen suchen:

• Chrome: pnhhdhhcadcjfckjhpmjneldiegbojfb
• Firefox: [email protected]

Durch die Installation der korrigierten Version werden bereits übertragene Tokens nicht ungültig. Wer die Erweiterung verwendet hat, sollte die zugehörige Twitch-Sitzung als potenziell kompromittiert betrachten und die entsprechenden Twitch-Autorisierungen über die verfügbaren Sicherheitseinstellungen des Kontos widerrufen oder erneuern.

Nutzer sollten ihre Konten außerdem auf unbekannte Chatnachrichten, Flüsternachrichten, Einstellungsänderungen oder Aktivitäten mit Kanalpunkten überprüfen. Jede nicht erklärbare authentifizierte Aktion kann auf einen Missbrauch hindeuten. Das Ausbleiben sichtbarer Aktivitäten beweist jedoch nicht, dass ein Token nie erfasst wurde.

Die unmittelbaren Maßnahmen sind klar: Die Erweiterung daran hindern, weitere Daten zu übertragen, sofern verfügbar eine korrigierte Version installieren und zuvor offengelegte Twitch-Sitzungen ungültig machen.