Una extensión de Twitch con 30 000 instalaciones expone los tokens OAuth de los usuarios

Una extensión para navegadores llamada Twitch Enhanced Viewer | JeetBot, disponible en las tiendas oficiales de Chrome y Firefox, transmite los tokens de sesión OAuth de los usuarios hacia un servicio comercial de bots. Esta herramienta, promocionada de manera legítima para bloquear anuncios, forzar la reproducción en alta definición, evitar restricciones geográficas y recolectar puntos de canal, cuenta con una base considerable de instalaciones.

De acuerdo con un análisis de la empresa de seguridad de aplicaciones Socket, el complemento intercepta el encabezado de autorización que utiliza el cliente web de la plataforma, extrae las credenciales y las reenvía mediante servidores proxy administrados por JeetBot, un servicio ruso de streaming y chatbots. En las versiones actuales, el token se añade como un parámetro directamente en las solicitudes redirigidas, lo que provoca que quede registrado en texto plano dentro de los servidores del proveedor.

Los investigadores señalan que este comportamiento se activa al sintonizar cualquier canal, con la excepción de un grupo predeterminado de canales en ruso incluidos en el código. Aunque las versiones anteriores empleaban mecanismos más directos de exfiltración —incluso con avisos en la tienda de complementos de Firefox sobre la transmisión del token para permitir resoluciones altas—, la declaración de privacidad en Chrome aseguraba lo contrario.

Ante esta situación, los especialistas en seguridad recomiendan a los usuarios desinstalar inmediatamente la extensión, cerrar todas las sesiones activas en la plataforma de streaming y volver a autenticarse para invalidar cualquier credencial expuesta. Cabe destacar que al momento de la publicación del reporte, el complemento seguía disponible en ambas tiendas oficiales de aplicaciones y el medio que dio a conocer el caso aún no había obtenido respuesta por parte de los creadores del servicio.