Una extensión maliciosa del navegador de Twitch filtra tokens OAuth de casi 31 000 usuarios

Una ex­ten­sión ma­li­cio­sa para na­ve­ga­do­res web ha pro­vo­ca­do la fil­tra­ción de cre­den­cia­les de au­ten­ti­ca­ción de casi trein­ta y un mil usua­rios hacia ser­vi­do­res proxy ad­mi­nis­tra­dos por un ser­vi­cio de bots de ori­gen co­mer­cial. Dicha he­rra­mien­ta, co­no­ci­da por un nom­bre es­pe­cí­fi­co y dis­po­ni­ble en tien­das ofi­cia­les de ex­ten­sio­nes, su­pues­ta­men­te pro­me­tía fun­cio­nes de me­jo­ra para trans­mi­sio­nes y vi­sua­li­za­ción de con­te­ni­do, pero en reali­dad des­via­ba so­li­ci­tu­des de lis­tas de re­pro­duc­ción y en­via­ba los to­kens de OAuth.

El fun­cio­na­mien­to del com­ple­men­to im­pli­ca­ba la cap­tu­ra del token del usua­rio y su in­clu­sión en texto plano den­tro de las so­li­ci­tu­des di­ri­gi­das a los ser­vi­do­res proxy de los ope­ra­do­res, con ex­cep­ción de un lis­ta­do pre­de­fi­ni­do de ca­na­les que no com­par­tían esta in­for­ma­ción. Esta ex­po­si­ción de cre­den­cia­les per­mi­te po­ten­cial­men­te que ter­ce­ros no au­to­ri­za­dos reali­cen ac­cio­nes en nom­bre del afec­ta­do, como en­viar men­sa­jes pri­va­dos, in­ter­ac­tuar en los chats o mo­di­fi­car con­fi­gu­ra­cio­nes de la cuen­ta.

Los re­gis­tros de la do­cu­men­ta­ción del pro­yec­to se­ña­lan que los res­pon­sa­bles ac­tua­li­za­ron el com­ple­men­to para evi­tar el envío de las cre­den­cia­les, re­co­men­dan­do a los usua­rios ac­tua­li­zar o des­ac­ti­var tem­po­ral­men­te el soft­wa­re afec­ta­do. A pesar de estas me­di­das co­rrec­ti­vas, el de­sa­rro­lla­dor ad­vir­tió que la ac­tua­li­za­ción o des­ac­ti­va­ción no in­va­li­da los to­kens que ya ha­bían sido trans­mi­ti­dos pre­via­men­te a la in­fra­es­truc­tu­ra ex­ter­na.