Une extension Twitch installée plus de 30 000 fois exposait les jetons OAuth

Une extension de navigateur promue comme un outil tiers pour améliorer l'expérience Twitch a été repérée comme exposant les jetons OAuth de ses utilisateurs. Twitch Enhanced Viewer | JeetBot était disponible dans les magasins officiels Chrome Web Store et Firefox Add-ons, avec environ 30 000 installations sur Chrome et 552 sur Firefox selon ThreatCluster. BleepingComputer indique qu'elle dépassait les 30 000 installations au total. Ces chiffres concernent des installations et ne prouvent pas, à eux seuls, que 30 000 comptes distincts aient été compromis.

Un mécanisme de redirection

L'extension se présentait comme capable de bloquer les publicités, de forcer la lecture en 1080p, de contourner certaines restrictions géographiques et d'activer la récupération des points de chaîne. L'analyse de Socket montre toutefois que l'extension capturait l'en-tête d'autorisation utilisé par le client web Twitch, en extraait le jeton OAuth et le transmettait à un service de robots commercial, JeetBot, via des serveurs intermédiaires.

Dans les versions actuelles, le jeton était ajouté à une requête de redirection sous la forme d'un paramètre nommé auth. Il apparaissait alors en clair dans les journaux du serveur proxy, où l'exploitant pouvait facilement le consulter. Le processus se serait déroulé pour chaque chaîne regardée, à l'exception de dix chaînes russes intégrées dans le code de l'extension.

ThreatCluster indique que les jetons exposés pouvaient permettre un accès non autorisé au compte Twitch, notamment aux fonctions de chat et aux paramètres. Un tel jeton peut donc transformer une extension apparemment utilitaire en voie d'accès au compte, sans que l'utilisateur ait nécessairement transmis ses identifiants.

Des versions antérieures plus explicites

Les premières versions de l'extension utilisaient un mécanisme encore plus direct. Une description de la extension dans le magasin Firefox reconnaissait que les anciennes versions transmettaient le jeton OAuth Twitch au serveur de l'éditeur, en l'expliquant par la nécessité d'assurer la lecture en 1080 ou 1440p. ThreatCluster a également identifié l'envoi des jetons par une requête POST vers un point de terminaison dédié.

Une déclaration de confidentialité associée à la version Chrome affirmait que le développeur ne collecterait ni n'utiliserait les données, tout en prévoyant des exceptions pour certaines ventes, transmissions hors de la fonctionnalité principale ou décisions de crédit. Cette formulation contraste avec le fonctionnement décrit par les chercheurs.

ThreatCluster associe l'opérateur du service à un développeur basé à Chypre, Aleksandr Popov. BleepingComputer a contacté JeetBot pour demander des précisions, sans recevoir de réponse à la publication de son enquête.

Des mesures recommandées

À la date de publication, l'extension était encore téléchargeable dans les deux magasins. Les chercheurs recommandent aux utilisateurs de la supprimer, de déconnecter toutes leurs sessions Twitch, puis de se reconnecter afin d'annuler tout jeton qui aurait été transmis. Ils conseillent également aux développeurs d'éviter de faire transiter des requêtes authentifiées par des serveurs tiers.