Twitch Enhanced Viewer uzantası, 30 bin kullanıcıyı tehlikeye attı

Twitch Enhanced Viewer | JeetBot isimli bir tarayıcı uzantısı, Chrome ve Firefox'un resmi mağazalarında mevcut ve 30 binin üzerinde kurulum sayısına ulaştı. Bu uzantı, Twitch kullanıcılarına reklam engelleme, 1080p (tam HD) yayın izleme, bölge kısıtlamalarını aşma ve kanal puanı toplama gibi özellikler sunarak, meşru bir üçüncü taraf aracı olarak tanıtılmakta.

Ancak, uygulama güvenliği şirketi Socket tarafından yapılan bir analiz, bu uzantının Twitch web istemcisi tarafından kullanılan yetkilendirme başlığını yakaladığını, kullanıcı OAuth token'ını çıkardığını ve bu bilgileri proxy sunucuları aracılığıyla bir ticari bot hizmetine gönderdiğini ortaya koydu.

Uzantının Tehlikeleri

Socket araştırmacıları, uzantının mevcut sürümlerinin, token'ı doğrudan yönlendirilmiş proxy isteklerine auth= URL parametresi olarak eklediğini belirtiyor. Bu durum, proxy sunucusunun istek günlüklerinde token'ın kolayca elde edilmesine yol açıyor. Uzantı, kullanıcının izlediği her Twitch kanalı için bu süreci tekrarlıyor, yalnızca uzantının koduna sabitlenmiş on Rusça kanalı hariç.

Önceki Sürümler ve Güvenlik Açıkları

Socket, uzantının önceki sürümlerinin daha belirgin kimlik hırsızlığı mekanizmaları içerdiğini vurguladı. Firefox Eklentileri mağazasındaki ürün açıklamasında geliştirici, daha önce kullanılan mekanizma hakkında bir uyarı yaparak, "Önceki sürümler, OAuth-twitch token'ınızı sunucumuza iletmekteydi. Bu, yayınların 1080/1440p çözünürlükte çalışabilmesi için gereklidir," ifadesini kullandı.

Chrome versiyonu için veri gizliliği açıklaması, geliştiricinin "verilerinizi toplayıp kullanmayacağını" açıkladığını belirtiyor. Ancak, bu beyan, kullanıcı verilerini üçüncü taraflara satma, ürünün "temel işlevselliği" dışında nedenlerle transfer etme veya kredi değerliliği belirleme gibi durumları kapsamıyor.

Kullanıcıların Alması Gereken Önlemler

Uzantının hala Chrome Web Mağazası ve Firefox Eklentileri mağazasında bulunması, kullanıcılar için bir risk oluşturuyor. Socket araştırmacıları, kullanıcıların bu uzantıyı tarayıcılarından kaldırmalarını, Twitch üzerindeki tüm oturumları kapatmalarını ve ardından tekrar kimlik doğrulaması yapmalarını öneriyor. Bu, herhangi bir şekilde iletilmiş olan token'ın geçersiz hale gelmesini sağlayacaktır.

Geliştiricilere ise kimlik doğrulama başlıkları veya token'ları üçüncü taraf sunucular aracılığıyla yönlendirmemeleri tavsiye ediliyor.