Un’estensione malevola di Twitch ha esposto i token OAuth di quasi 31.000 utenti

Le versioni per Chrome e Firefox distribuivano l’estensione

Un’estensione del browser che prometteva un’esperienza di visione migliorata su Twitch trasmetteva i token di sessione OAuth degli utenti a un’infrastruttura proxy associata a JeetBot, un servizio commerciale di bot attivo su Twitch, Kick e VK Live.

L’estensione, denominata “Twitch Enhanced Viewer | JeetBot”, era distribuita sia sul Google Chrome Web Store sia su Mozilla Firefox Add-ons. Come sviluppatore indicava HISHIMIRO/jeetbot.cc.

La versione per Chrome utilizza l’identificativo pnhhdhhcadcjfckjhpmjneldiegbojfb. Pubblicata il 26 giugno 2025, contava circa 30.000 utenti. Il pacchetto per Firefox, identificato come [email protected], è stato pubblicato il 7 luglio 2025 e contava 604 utenti.

Nel complesso, le due versioni esponevano i dati di quasi 31.000 persone. Quando sono state pubblicate le informazioni sulla sicurezza, entrambe erano ancora disponibili per il download: a quel punto era quindi ancora possibile effettuare nuove installazioni.

Le descrizioni presenti negli store promuovevano funzionalità come la visione senza pubblicità, l’accesso ai contenuti soggetti a restrizioni geografiche e il supporto agli streaming a 1080p nei casi in cui quella qualità non fosse altrimenti disponibile. Non dichiaravano però che il traffico autenticato di Twitch sarebbe transitato attraverso un’infrastruttura controllata dall’operatore dell’estensione.

L’intercettazione delle playlist esponeva credenziali bearer attive

L’estensione funziona intercettando le richieste delle playlist video di Twitch inviate a usher.ttvnw[.]net. Invece di consentire che queste richieste raggiungano direttamente l’infrastruttura di distribuzione di Twitch, le reindirizza attraverso server proxy esterni.

Questa architettura crea già di per sé una significativa dipendenza da un’infrastruttura di cui bisogna fidarsi. Nelle versioni attuali v85.x, tuttavia, l’estensione estrae anche il token OAuth dell’utente Twitch e lo aggiunge all’URL reindirizzato tramite il parametro di query &auth=.

Di conseguenza, ogni volta che l’utente guarda un canale interessato dalla logica di inoltro, il token viene inviato al proxy. Poiché la credenziale è incorporata nell’URL, i normali log delle richieste proxy possono registrarla in chiaro.

Il problema non si limita all’installazione iniziale o a un singolo evento di autenticazione. Un’installazione vulnerabile può trasmettere ripetutamente il token attivo mentre l’utente apre streaming Twitch idonei. Aggiornare o disabilitare l’estensione interrompe gli inoltri successivi, ma non consente di recuperare le credenziali già archiviate nei log remoti o in altri sistemi backend.

Le versioni precedenti v4.x utilizzavano un altro meccanismo di raccolta. La versione 4.8, che risulta risalire a gennaio 2026, inviava il token tramite una richiesta HTTP POST a un endpoint set-token ospitato dall’operatore. Includeva inoltre un’infrastruttura di fallback su deno.dev e deno.net.

Il ricercatore di sicurezza Kush Pandya, di Socket, ha documentato la gestione dei token e le esclusioni selettive dei canali.

Dieci canali erano esclusi dall’inoltro dei token

Il codice v85.x contiene eccezioni per dieci specifici canali Twitch. Per gli utenti che guardavano quei canali, i token non venivano inviati attraverso lo stesso percorso proxy:

• pch3lk1n — 580.000 follower
• fasoollka — 361.000 follower
• flamie — 132.000 follower
• dosia — 29 follower
• fander — 2 follower
• almazer — 4 follower
• forzorezor — 177.000 follower
• akyuliych — 1,1 milioni di follower
• lagoda1337 — 225.000 follower
• lagoda — 77.300 follower

La maggior parte sono streamer di lingua russa. Non è stato stabilito il motivo per cui proprio questi canali fossero protetti e l’elenco comprende account con un numero di follower che va da poche unità a oltre un milione.

Per ogni altro canale, l’estensione instradava la richiesta autenticata della playlist dello spettatore attraverso il proxy e includeva la credenziale OAuth. Le eccezioni codificate dimostrano che l’inoltro dei token era selettivo e controllato dal codice, non una conseguenza inevitabile del recupero delle playlist di Twitch.

Un token sottratto può consentire l’accesso all’account senza password

Il valore esposto è una credenziale bearer per una sessione Twitch autenticata. È quindi molto più sensibile di un identificativo del dispositivo, di una preferenza del browser o di un normale dato di telemetria.

Chiunque disponga di un token valido potrebbe riuscire a operare attraverso l’account associato senza inserire la password o completare un’ulteriore verifica di autenticazione. Le azioni esatte disponibili dipendono dalla sessione e dai permessi associati al token.

Le possibili conseguenze includono:

• Leggere o inviare whisper su Twitch, comprese le conversazioni private
• Pubblicare messaggi utilizzando l’identità della vittima
• Accedere alle impostazioni dell’account
• Spendere i punti canale accumulati
• Eseguire altre operazioni autorizzate per la sessione attiva

Per essere utile, un token valido non deve necessariamente rivelare la password sottostante. Rappresenta uno stato già autenticato: per questo, cambiare o proteggere soltanto la password potrebbe non neutralizzare una sessione esposta.

Il modello di trasmissione ripetuta aumenta il rischio. Anche se una copia registrata dovesse scadere, l’utilizzo continuato di un’estensione non corretta potrebbe inviare un token attivo più recente quando lo spettatore guarda un altro canale.

Non esistono conferme pubbliche dell’utilizzo delle credenziali raccolte per dirottare account Twitch. Tuttavia, la possibilità di raccogliere quasi 31.000 sessioni autenticate, unita alla possibile presenza dei token in chiaro nei log dei proxy, crea una via diretta per abusare degli account.

L’infrastruttura è collegata al servizio JeetBot

I sistemi proxy sono associati a JeetBot, che promuove funzionalità di automazione e interazione con il pubblico per Twitch, Kick e VK Live. Tra le funzioni pubblicizzate figurano la sintesi vocale dei messaggi, la traduzione automatica e altri strumenti per interagire con gli spettatori.

JeetBot dichiara più di 26.000 streamer attivi e un miliardo di messaggi elaborati. Secondo quanto riferito, dispone di ampi permessi di hosting su Twitch e inoltra le sessioni live autenticate attraverso la propria infrastruttura.

Nel footer del sito del servizio, come operatore viene indicato Aleksandr Popov, sviluppatore con sede a Cipro. Il profilo LinkedIn di Popov descrive JeetBot come un progetto personale.

Questi collegamenti identificano il servizio associato all’infrastruttura, ma nelle informazioni pubblicate non era disponibile un ulteriore commento dello sviluppatore. Non sono noti il periodo di conservazione definitivo dei log dei proxy, il numero di token ancora validi né l’eventuale accesso di terzi alle credenziali raccolte.

Gli utenti Firefox possono aggiornare, quelli Chrome devono disabilitare l’estensione

La documentazione di JeetBot afferma ora che la versione 85.8.7 per Firefox modifica il processo di recupero delle playlist, impedendo l’invio dei token OAuth di Twitch ai server proxy. Gli utenti Firefox dovrebbero verificare di utilizzare la versione 85.8.7 o successive.

Quando il problema è stato segnalato, la versione corretta equivalente per Chrome era ancora in fase di revisione. Gli utenti Chrome che non riescono a ottenere una versione corretta devono disabilitare o rimuovere immediatamente l’estensione. Le installazioni esistenti continuano a inoltrare le credenziali finché non vengono aggiornate o disattivate.

Gli utenti dovrebbero verificare la presenza dei seguenti identificativi dell’estensione:

• Chrome: pnhhdhhcadcjfckjhpmjneldiegbojfb
• Firefox: [email protected]

Installare la versione corretta non invalida i token già trasmessi. Chiunque abbia utilizzato l’estensione dovrebbe considerare potenzialmente compromessa la sessione Twitch associata e revocare o rinnovare le autorizzazioni Twitch pertinenti tramite i controlli di sicurezza disponibili nell’account.

Gli utenti dovrebbero inoltre controllare che nei propri account non siano presenti messaggi in chat, whisper, modifiche alle impostazioni o attività relative ai punti canale non riconosciuti. Qualsiasi azione autenticata inspiegabile potrebbe indicare un abuso, anche se l’assenza di attività visibili non dimostra che il token non sia mai stato raccolto.

Le priorità immediate sono chiare: impedire all’estensione di trasmettere altri dati, installare una versione corretta se disponibile e invalidare le sessioni Twitch precedentemente esposte.