Специалисты по кибербезопасности из компании Socket обнаружили вредоносное расширение для браузеров под названием Twitch Enhanced Viewer | JeeBot. Инструмент, доступный для Google Chrome и Mozilla Firefox, тайно собирал OAuth-токены пользователей Twitch и передавал их на сторонние прокси-серверы. По данным экспертов, общее число пострадавших достигло примерно 31 000 человек: около 30 000 пользователей в Chrome и еще 600 в Firefox.
Механика работы вредоносного расширения
В интернет-магазине Chrome расширение продвигалось как современный инструмент для стримеров и зрителей, обещающий улучшение качества трансляций, возможность просмотра контента в 2K, скрытие рекламных баннеров и встроенного ИИ-бота для взаимодействия с чатом. Однако, как выяснили исследователи Socket, реальный функционал программы включал скрытый сбор конфиденциальных данных.
Приложение было спроектировано таким образом, чтобы запрашивать плейлисты видеопотоков Twitch через собственные прокси-серверы разработчика (HISHIMIRO/jeetbot.cc). В процессе перенаправления запросов расширение принудительно добавляло OAuth-токен пользователя в URL-адрес. Из-за того, что данные передавались в формате параметра &auth=, токены сохранялись в логах запросов на стороне прокси-сервера, что делало их доступными для операторов инфраструктуры.
Избирательный характер сбора данных
Ключевым доказательством преднамеренности действий разработчика стала конфигурация расширения. Анализ показал, что автоматическая отправка токенов происходила при просмотре любого канала, кроме десяти исключений. В код программы был встроен жестко заданный список из десяти каналов русскоязычных стримеров, активность на которых не фиксировалась и данные сессий оттуда не пересылались. Наличие «белого списка» исключает версию о случайной ошибке в коде.
Меры безопасности для пользователей
После того как специалисты Socket публично сообщили об уязвимости, разработчик выпустил обновление до версии 85.8.7 для Firefox, где передача токенов в прокси-запросах была отключена. Аналогичное обновление для версии в Chrome в данный момент проходит процедуру проверки в магазине приложений.
Несмотря на выпуск исправлений, эксперты по безопасности настоятельно рекомендуют пользователям, установившим данное расширение, предпринять дополнительные меры защиты. В частности, пользователям следует вручную отозвать скомпрометированные OAuth-токены в настройках аккаунта Twitch, чтобы предотвратить возможный несанкционированный доступ к своим учетным записям. Осведомленность о подобных расширениях остается критически важной для защиты персональных данных на платформе.
Технические детали реализации и природа уязвимости
Исследователи из Socket подчеркнули, что процесс кражи данных был реализован на сетевом уровне. В текущих на тот момент сборках (версии 85.x) токен передавался встроенным параметром &auth= в запросе перенаправления на прокси-сервер оператора. Такая архитектура приводила к тому, что конфиденциальные данные пользователя оказывались в открытом виде в логах серверов разработчика при каждом просмотре стрима, не входящего в список исключений.
Особенности продвижения и риски
В магазине Chrome Web Store расширение позиционировалось как многофункциональный комбайн для улучшения пользовательского опыта: оно предлагало инструменты для повышения удобства, контроля над качеством контента и взаимодействия с аудиторией. Столь активное использование функционала «улучшения просмотра» (например, возможности смотреть видео в разрешении 2K или блокировки нежелательных элементов интерфейса) служило эффективным прикрытием для сбора токенов авторизации под видом технической необходимости для работы прокси-серверов.
Наличие жестко заданного списка из десяти российских каналов, сессии которых были исключены из схемы пересылки токенов, является наиболее весомым аргументом в пользу того, что разработчик (HISHIMIRO/jeetbot.cc) полностью осознавал характер действий своего программного обеспечения.
Хотя разработчик оперативно отреагировал на публикацию данных Socket, выпустив обновление версии 85.8.7 для Firefox, пользователям следует проявлять крайнюю осторожность. Даже после установки патча остается риск, что ранее собранные данные уже были использованы или сохранены злоумышленниками. Регулярная проверка установленных расширений и немедленная отзыв токенов сессий остаются единственным надежным способом минимизировать последствия подобных инцидентов.
