La extensión maliciosa Twitch Enhanced Viewer | JeetBot filtró tokens de acceso de unos 31,000 usuarios a servidores rusos. Estos tokens permiten acceder a mensajes privados y configuraciones de cuenta sin necesidad de contraseña. El desarrollador lanzó una actualización para corregirlo, pero recomienda desinstalar versiones antiguas ya que los datos enviados previamente siguen expuestos.

Una extensión maliciosa de navegador para Twitch ha filtrado tokens OAuth asociados a casi 31.000 usuarios hacia servidores proxy operados por un servicio comercial de bots ruso.

La extensión, llamada "Twitch Enhanced Viewer | JeetBot", indica que HISHIMIRO/jeetbot.cc es su desarrollador y tiene los siguientes identificadores en la Chrome Web Store de Google y en la tienda de complementos de Mozilla Firefox:

* Chrome - pnhhdhhcadcjfckjhpmjneldiegbojfb [enlace] - 30.000 usuarios (Publicada el 26 de junio de 2025)
* Firefox - twitchenhancedviewer@example.com [enlace] - 604 usuarios (Publicada el 7 de julio de 2025)

Ambas extensiones siguen disponibles para su descarga al momento de escribir esto. La descripción de la extensión afirma: "JeetBot es una herramienta moderna para streamers y espectadores que aprecian la calidad, la comodidad y el control", añadiendo que "amplía las capacidades de Twitch: streaming en 1080p para regiones con restricciones".

"Las versiones actuales (v85.x) reenvían el token en línea como un parámetro de consulta &auth= en una redirección de la capa de red al proxy del operador", dijo el investigador de seguridad de Socket, Kush Pandya [enlace] . "El token se reenvía para cada canal que el usuario ve, excepto para una lista blanca predefinida de diez canales de streamers rusos, cuyas sesiones están exentas del reenvío".

"El operador es un SaaS de bots comercial para Twitch, Kick y VK-Live que tiene amplios permisos de host en Twitch y retransmite sesiones autenticadas en vivo a través de su propia infraestructura".

Aunque la extensión afirma ofrecer una experiencia sin anuncios y servir contenido desbloqueado por región, lo hace enrutando las solicitudes de listas de reproducción de video de Twitch a "usher.ttvnw[.]net" a través de servidores proxy controlados por el operador, junto con el token OAuth del usuario como un parámetro de consulta "&auth=".

Específicamente, el complemento incluye código para recuperar el token OAuth de Twitch y enviarlo al proxy. El token puede permitir el acceso al chat del usuario, a los susurros [enlace] (es decir, mensajes privados) y a la configuración de la cuenta.



Dado que el token se coloca en la cadena de consulta de la URL, se escribe en texto claro en los registros de solicitudes del servidor proxy. El mecanismo de redirección de tokens, sin embargo, se excluye para una lista predefinida de 10 canales de Twitch, la mayoría de los cuales son streamers de habla rusa con miles de seguidores:

* pch3lk1n (580K seguidores)
* fasoollka (361K seguidores)
* flamie (132K seguidores)
* dosia (29 seguidores)
* fander (2 seguidores)
* almazer (4 seguidores)
* forzorezor (177K seguidores)
* akyuliych (1.1M seguidores)
* lagoda1337 (225K seguidores)
* lagoda (77.3K seguidores)

"Para cada canal fuera de esta lista, el token en vivo del usuario se reenvía al proxy", explicó Pandya. "Versiones anteriores v4.x (por ejemplo, la versión 4.8, enero de 2026) fueron más allá, enviando el token mediante POST a un endpoint dedicado set-token en el host del operador, con copias de seguridad en deno.dev y deno.net".

JeetBot se promociona como un "bot potente para Twitch, Kick y VK Live con síntesis de voz de mensajes, traducción automática y muchas otras funciones para mejorar la interacción con los espectadores". Afirma tener más de 26.000 streamers activos y mil millones de mensajes procesados. El pie de página del sitio identifica al operador como un desarrollador basado en Chipre llamado Aleksandr Popov. En su perfil de LinkedIn, el desarrollador afirma que JeetBot es su proyecto personal.

Sin embargo, parece que el desarrollador ya ha tomado medidas para solucionar el problema. Una alerta emitida en la página de documentación de JeetBot [enlace] indica ahora que la versión 85.8.7 del complemento de Firefox soluciona el problema y que una versión equivalente para Chrome está actualmente bajo revisión:

En la implementación anterior, la extensión enviaba el token OAuth de Twitch del usuario a nuestros servidores proxy para recuperar las listas de reproducción de streaming. Un token OAuth es una credencial y debe ser protegida.

La versión 85.8.7 cambia la forma en que se recuperan las listas de reproducción: el token OAuth del usuario ya no se envía a nuestros proxies.

Comprueba la versión de la extensión que tienes instalada y actualiza a la 85.8.7 o posterior. Las instalaciones más antiguas que utilizan el mecanismo anterior seguirán enviando el token hasta que se actualicen.

La documentación también insta a los usuarios a desactivar temporalmente la extensión para detener la transmisión posterior del token si la extensión no está disponible. Sin embargo, el desarrollador advirtió que desactivar o actualizar la extensión no revoca los tokens transmitidos previamente.

The Hacker News se ha puesto en contacto tanto con Socket como con el desarrollador para obtener más comentarios y actualizaremos la historia si recibimos respuesta.

"Aproximadamente 31.000 usuarios de Chrome y Firefox enrutan sus tokens de sesión en vivo de Twitch OAuth a través de la infraestructura de proxy controlada por el operador", dijo Socket.

"Un token de sesión OAuth de Twitch es una credencial portadora: quien lo posea puede actuar en la cuenta sin la contraseña ni un segundo factor, incluyendo leer y enviar susurros, publicar en el chat y gastar puntos del canal. La exposición no fue revelada en ninguna de las descripciones de las tiendas".

Fuente:
THN