Расширение для Twitch с 30 000 установок передавало токены аккаунтов прокси
Автор: Марта Баринова Исследователи Socket обнаружили, что браузерное расширение Twitch Enhanced Viewer | JeetBot передаёт OAuth-токены пользователей Twitch на прокси-серверы коммерческого сервиса JeetBot. Расширение обещает убрать рекламу, включить 1080p, обойти региональные ограничения и автоматически собирать баллы каналов. По данным исследователей, токен отправляется при просмотре почти любого канала. Владелец такого ключа может действовать от имени пользователя без пароля и второго фактора.
Расширение доступно в Chrome Web Store и Firefox Add-ons. В магазине Chrome у него указано около 30 000 пользователей, в каталоге Firefox указано ещё 552. На момент исследования обе страницы оставались доступными, а актуальные версии линейки v85 продолжали пересылать учётные данные через инфраструктуру оператора.
Socket установила, что скрипт расширения считывает заголовок авторизации, который использует веб-клиент Twitch, и передаёт его фоновому процессу. Затем программа извлекает из заголовка OAuth-токен и использует его для проверки через собственный сервис Twitch. Это учётный токен аккаунта, а не отдельный ключ для воспроизведения видеопотока.
Как расширение Twitch передаёт токены
Для работы функций без рекламы и с разблокировкой регионов Twitch Enhanced Viewer | JeetBot перенаправляет запросы к плейлистам видео через подконтрольные оператору прокси. При этом расширение добавляет OAuth-токен в адрес запроса как параметр auth. В результате секретный ключ оказывается в журналах запросов прокси-сервера в открытом виде.
Механизм одинаково работает в версиях для Chrome и Firefox, хотя технически браузеры применяют разные способы перенаправления запросов. Токен не добавляется лишь для десяти каналов, перечисленных прямо в коде расширения. Все они принадлежат русскоязычным стримерам, среди которых есть известные игроки в Counter-Strike.
Для остальных каналов учётные данные направляются на прокси при каждом просмотре. OAuth-токен Twitch работает по принципу предъявительского ключа: получивший его человек или сервис способен читать и отправлять личные сообщения, писать в чат, менять настройки аккаунта и тратить баллы каналов. В описаниях расширения передача таких данных не раскрывалась.
В разделе безопасности данных Chrome Web Store разработчик указывал, что не собирает и не использует данные пользователей, а также не продаёт их третьим сторонам. Связанная с расширением политика конфиденциальности от 25 июня 2025 года также утверждает, что сервис не собирает, не хранит и не обрабатывает пользовательские данные. Упоминаний OAuth-токенов или проксирования в документе нет.
Ранние версии отправляли токены отдельным запросом
В более старых сборках v4.x, включая версию 4.8 от 8 января 2026 года, схема была ещё прямее. Расширение отправляло захваченный токен POST-запросом на адрес set-token выбранного прокси. В коде были предусмотрены основной сервер и два резервных адреса на deno.dev и deno.net.
Программа запоминала последний отправленный токен и делала пятисекундную паузу между отправками. Комментарии к этому коду написаны по-русски и описывают сохранение последнего токена и ограничение частоты отправки. Позже маршрут set-token исчез из сборок, но начиная с версии 85.2.2, опубликованной 20 мая 2026 года, расширение стало передавать токен в строке запроса.
Оператором инфраструктуры исследователи называют JeetBot, русскоязычный коммерческий сервис ботов для Twitch, Kick и VK-Live. Сайт сервиса в подвале указывает оператором Попова Александра Алексеевича, а имя разработчика расширения в каталогах обозначено как HISHIMIRO. Сервер конфигурации передаёт расширению список прокси, поэтому оператор может определять, через какой хост будут проходить токены.
Socket рекомендует удалить Twitch Enhanced Viewer | JeetBot из Chrome или Firefox, затем отключить все активные сессии в настройках Twitch и войти в аккаунт заново. Такая последовательность аннулирует токены, которые расширение могло передать прокси-серверам. Исследователи также советуют не использовать расширения, которые пропускают трафик авторизованных сервисов через сторонние серверы.
