恶意 Twitch 浏览器扩展泄露近 3.1 万名用户的 OAuth 令牌

新闻

17小时前

一款同时上架多个扩展商店的恶意 Twitch 浏览器扩展，将近 3.1 万名用户的 OAuth 令牌泄露给了由一家俄罗斯商业机器人服务运营的代理服务器。

新建项目 (7).png

该扩展名为 “Twitch Enhanced Viewer | JeetBot”，开发者标注为 HISHIMIRO/jeetbot.cc，在 Google Chrome 网上应用店和 Mozilla Firefox 附加组件商店中的标识如下：

Chrome - pnhhdhhcadcjfckjhpmjneldiegbojfb - 30,000 名用户（2025 年 6 月 26 日发布）
Firefox - twitchenhancedviewer@example.com - 604 名用户（2025 年 7 月 7 日发布）

截至发稿时，这两个扩展仍可下载。扩展页面称：“JeetBot 是一款面向重视质量、便利性和可控性的主播及观众的现代化工具”，并表示其“扩展了 Twitch 的能力，可在受限制地区提供 1080p 直播”。

Socket 安全研究员 Kush Pandya 表示：

“当前版本（v85.x）会在网络层重定向过程中，将令牌以 &auth= 查询参数的形式直接转发给运营方的代理服务器。除硬编码白名单中的 10 个俄罗斯主播频道外，用户每观看一个频道，其令牌都会被转发；这 10 个频道的会话不会触发转发。”

“该运营方是一家面向 Twitch、Kick 和 VK-Live 的商业机器人 SaaS 服务，拥有广泛的 Twitch 主机权限，并通过自有基础设施中继已认证的实时会话。”

尽管该扩展声称可以提供无广告体验并解除区域内容限制，但其实现方式是：将 Twitch 发往 usher.ttvnw[.]net 的视频播放列表请求，经由运营方控制的代理服务器转发，同时把用户的 OAuth 令牌作为 &auth= 查询参数一并发送。

具体而言，该扩展内嵌代码，用于提取 Twitch OAuth 令牌并发送至代理服务器。该令牌可用于访问用户聊天、Whispers（即私信）以及账户设置。

由于令牌被放在 URL 查询字符串中，因此会以明文形式写入代理服务器的请求日志。

不过，这种令牌重定向机制对硬编码的 10 个 Twitch 频道不生效，其中大多数是拥有数千乃至上百万粉丝的俄语主播：

pch3lk1n（58 万粉丝）
fasoollka（36.1 万粉丝）
flamie（13.2 万粉丝）
dosia（29 名粉丝）
fander（2 名粉丝）
almazer（4 名粉丝）
forzorezor（17.7 万粉丝）
akyuliych（110 万粉丝）
lagoda1337（22.5 万粉丝）
lagoda（7.73 万粉丝）

Pandya 解释称：

“对于这份名单之外的所有频道，用户当前有效的令牌都会被转发给代理服务器。更早期的 v4.x 版本——例如 2026 年 1 月发布的 4.8 版本——做得更进一步，会通过 POST 请求将令牌发送至运营方主机上的专用 set-token 接口，同时还在 deno.dev 和 deno.net 上设置了备用地址。”

JeetBot 将自己宣传为“一款功能强大的 Twitch、Kick 和 VK Live 机器人，支持消息语音合成、自动翻译，以及多种增强观众互动的功能”。

该服务声称拥有超过 2.6 万名活跃主播，并已处理 10 亿条消息。网站页脚显示，该服务的运营方是一名来自塞浦路斯、名为 Aleksandr Popov 的开发者。其 LinkedIn 资料中称 JeetBot 是个人业余项目。

不过，目前看来，开发者已经开始处理这一问题。

JeetBot 文档页面发布的提示显示，Firefox 扩展的 85.8.7 版本已修复该问题，而对应的 Chrome 版本仍在审核中：

在此前的实现中，扩展会将用户的 Twitch OAuth 令牌发送到我们的代理服务器，以获取直播播放列表。OAuth 令牌属于凭证信息，必须受到保护。

85.8.7 版本修改了播放列表的获取方式：用户的 OAuth 令牌将不再发送至我们的代理服务器。

请检查已安装扩展的版本，并更新至 85.8.7 或更高版本。仍使用旧机制的安装实例，在完成更新之前会继续发送令牌。

文档还建议，如果新版本扩展暂时不可用，用户应临时禁用该扩展，以停止进一步传输令牌。

不过，开发者同时警告称，禁用或更新扩展并不会撤销此前已经传输的令牌。

The Hacker News 已联系 Socket 和该开发者寻求进一步置评，如收到回复将更新报道。

Socket 表示：

“大约 3.1 万名 Chrome 和 Firefox 用户，会将其当前有效的 Twitch OAuth 会话令牌经由运营方控制的代理基础设施进行传输。”