Una extensión de Twitch con 30 000 instalaciones expone los tokens OAuth de los usuarios

Una ex­ten­sión para na­ve­ga­do­res lla­ma­da Twitch En­han­ced Vie­wer | Jeet­Bot, dis­po­ni­ble en las tien­das ofi­cia­les de Chro­me y Fi­re­fox, trans­mi­te los to­kens de se­sión OAuth de los usua­rios hacia un ser­vi­cio co­mer­cial de bots. Esta he­rra­mien­ta, pro­mo­cio­na­da de ma­ne­ra le­gí­ti­ma para blo­quear anun­cios, for­zar la re­pro­duc­ción en alta de­fi­ni­ción, evi­tar res­tric­cio­nes geo­grá­fi­cas y re­co­lec­tar pun­tos de canal, cuen­ta con una base con­si­de­ra­ble de ins­ta­la­cio­nes.

De acuer­do con un aná­li­sis de la em­pre­sa de se­gu­ri­dad de apli­ca­cio­nes Soc­ket, el com­ple­men­to in­ter­cep­ta el en­ca­be­za­do de au­to­ri­za­ción que uti­li­za el clien­te web de la pla­ta­for­ma, ex­trae las cre­den­cia­les y las re­en­vía me­dian­te ser­vi­do­res proxy ad­mi­nis­tra­dos por Jeet­Bot, un ser­vi­cio ruso de strea­ming y chat­bots. En las ver­sio­nes ac­tua­les, el token se añade como un pa­rá­me­tro di­rec­ta­men­te en las so­li­ci­tu­des re­di­ri­gi­das, lo que pro­vo­ca que quede re­gis­tra­do en texto plano den­tro de los ser­vi­do­res del pro­vee­dor.

Los in­ves­ti­ga­do­res se­ña­lan que este com­por­ta­mien­to se ac­ti­va al sin­to­ni­zar cual­quier canal, con la ex­cep­ción de un grupo pre­de­ter­mi­na­do de ca­na­les en ruso in­clui­dos en el có­di­go. Aun­que las ver­sio­nes an­te­rio­res em­plea­ban me­ca­nis­mos más di­rec­tos de ex­fil­tra­ción —in­clu­so con avi­sos en la tien­da de com­ple­men­tos de Fi­re­fox sobre la trans­mi­sión del token para per­mi­tir re­so­lu­cio­nes altas—, la de­cla­ra­ción de pri­va­ci­dad en Chro­me ase­gu­ra­ba lo con­tra­rio.

Ante esta si­tua­ción, los es­pe­cia­lis­tas en se­gu­ri­dad re­co­mien­dan a los usua­rios des­ins­ta­lar in­me­dia­ta­men­te la ex­ten­sión, ce­rrar todas las se­sio­nes ac­ti­vas en la pla­ta­for­ma de strea­ming y vol­ver a au­ten­ti­car­se para in­va­li­dar cual­quier cre­den­cial ex­pues­ta. Cabe des­ta­car que al mo­men­to de la pu­bli­ca­ción del re­por­te, el com­ple­men­to se­guía dis­po­ni­ble en ambas tien­das ofi­cia­les de apli­ca­cio­nes y el medio que dio a co­no­cer el caso aún no había ob­te­ni­do res­pues­ta por parte de los crea­do­res del ser­vi­cio.