Uma extensão maliciosa de navegador para a plataforma de streaming Twitch foi identificada vazando tokens OAuth associados a quase 31.000 usuários. A extensão, nomeada "Twitch Enhanced Viewer | JeetBot", listava HISHIMIRO/jeetbot.cc como seu desenvolvedor e estava disponível nas lojas do Google Chrome e Mozilla Firefox. Os tokens foram enviados para servidores proxy operados por um serviço comercial de bots russo.
Mecanismo de vazamento de dados
A extensão cross-store explorava a confiança dos usuários em ferramentas que prometem melhorar a experiência de visualização. Ao instalar a extensão, os usuários concediam permissões que permitiam o acesso a seus tokens de autenticação. Esses tokens são cruciais para a sessão do usuário e podem ser usados para assumir contas, acessar dados privados e realizar ações em nome da vítima.
O vazamento de tokens OAuth é particularmente preocupante porque permite que os atacantes contornem a necessidade de senhas. Com um token válido, um atacante pode acessar a conta do usuário sem precisar de credenciais adicionais, a menos que a autenticação multifator (MFA) esteja ativada e seja resistente a tokens. A extensão operava de forma silenciosa, dificultando a detecção pelos usuários comuns.
Impacto na segurança de identidade
Este incidente destaca os riscos associados à instalação de extensões de navegador não verificadas, especialmente aquelas que solicitam permissões elevadas. Para usuários do Twitch, isso significa que suas contas podem ter sido comprometidas, com dados pessoais e históricos de visualização expostos. Para organizações que utilizam contas corporativas no Twitch, o risco se estende à segurança de dados da empresa.
A exploração de extensões de navegador é uma tática comum de cibercriminosos devido à facilidade de distribuição e à confiança que os usuários depositam nas lojas de aplicativos. A remoção da extensão não garante a revogação dos tokens vazados, exigindo ação proativa dos usuários afetados.
Recomendações de proteção
Os usuários devem revisar as extensões instaladas em seus navegadores e remover qualquer uma que não reconheçam ou que não sejam necessárias. A verificação de permissões solicitadas é essencial antes da instalação. Além disso, a ativação da autenticação multifator (MFA) em todas as contas importantes adiciona uma camada de segurança adicional, mesmo que um token seja comprometido.
Para administradores de TI, a política de segurança deve incluir a proibição de instalação de extensões não aprovadas em dispositivos corporativos. O monitoramento de tráfego de rede para conexões suspeitas a servidores de bots pode ajudar a identificar comprometimentos. A educação dos usuários sobre os riscos de extensões maliciosas é fundamental para prevenir futuros incidentes.
Conclusão e lições aprendidas
A descoberta desta extensão maliciosa serve como um lembrete da importância da vigilância contínua em relação a ferramentas de terceiros. A segurança de identidade é um pilar crítico da cibersegurança moderna, e a proteção de tokens de autenticação deve ser uma prioridade para usuários e organizações. A colaboração entre plataformas e pesquisadores de segurança é vital para identificar e mitigar ameaças rapidamente.