Полный доступ к статьям и архиву выпусков Совместный курс «Хакера» и лаборатории «Хаксет» Лучшие статьи за 2021–2022 годы на бумаге Специалисты компании Socket обнаружили , что браузерное расширение Twitch Enhanced Viewer | JeetBot, ориентированное на русскоязычных пользователей и насчитывающее около 31 000 установок, передавало OAuth-токены на прокси-серверы своих разработчиков. Утечка токенов OAuth опасна тем, что они фактически позволяют захватить контроль над чужим аккаунтом без пароля и в обход двухфакторной аутентификации. С их помощью можно читать и отправлять личные сообщения, писать в чаты, менять настройки аккаунта и тратить channel points. Twitch Enhanced Viewer | JeetBot позиционируется как инструмент для Twitch, который блокирует рекламу, позволяет смотреть трансляции в 1080p (в России качество трансляций ограничено до 720p), обходить региональные ограничения и автоматически собирать channel points. Расширение установили около 30 000 пользователей Chrome и порядка 600 пользователей Firefox. Как нетрудно понять по названию, расширение связано с сервисом JeetBot — коммерческой платформой для стримеров и зрителей Twitch, Kick и VK Live, которая предлагает чат-ботов, озвучку сообщений, автоматический перевод и другие инструменты для создателей контента. Twitch Enhanced Viewer распространяется под брендом JeetBot и использует принадлежащие сервису прокси-серверы, чтобы загружать трансляции Twitch (в том числе в обход региональных ограничений). Как выяснили исследователи, расширение извлекало пользовательский OAuth-токен из заголовка авторизации Twitch и передавало его вместе с запросами через прокси JeetBot. В актуальных версиях расширения ветки 85.x токен добавлялся прямо в URL как параметр &auth= при перенаправлении запросов к usher.ttvnw[.]net, откуда Twitch отдает плейлисты трансляций. В результате токены в открытом виде попадали в логи прокси-серверов и могли быть доступны сотрудникам JeetBot.
Источник: Xakep — https://xakep.ru/2026/09/16/twitch-enhanced-viewer/
Комментарии