JeetBot: 31.000 OAuth-Token in Twitch gefährdet

Wie eine harmlose Erweiterung zur Datensammlung wurde

Das Socket Threat Research Team veröffentlichte am Montag, den 14. September, den technischen Bericht zur "Twitch Enhanced Viewer | JeetBot", einer Browsererweiterung, die OAuth-Session-Token von Twitch an von einem kommerziellen Bot-Service in Russland betriebene Proxy-Server weiterleitet. Die Erweiterung hat 30.000 Installationen im Chrome Web Store und 552 im Firefox Add-ons, und sie funktioniert so seit Version 4.8, die im Januar veröffentlicht wurde. Auf beiden Plattformen erklärt die Produktseite, dass der Entwickler "keine Daten von Nutzern sammelt oder verwendet". Laut Socket ist diese Aussage falsch und widerspricht dem Verhalten zur Laufzeit der derzeit verbreiteten Version 85.x.

Was das Token erlaubt

Das erlangte Credential ist kein eingeschränkter Playback-Token, sondern der vollständige OAuth-Token des Kontos. Wer über dieses Token verfügt, benötigt kein Passwort oder 2FA, um Nachrichten auf der Plattform zu lesen und zu senden, am Chat als Kontoinhaber teilzunehmen, Kontoeinstellungen zu ändern und Channel Points auszugeben. Bei 31.000 Konten ermöglicht die Mechanik die Manipulation von Abonnements und Social Engineering gegen Streamer mit großer Reichweite. Der Punkt, der für den CISO von Interesse ist, ist nicht Twitch selbst, sondern das Muster: Eine Erweiterung mit legitimem Zweck, die über die offiziellen Kanäle der beiden größten Browser-Stores verteilt wird, hat neun Monate lang Anmeldedaten gesammelt, bevor es irgendeine öffentliche Warnung gab.

Die Tarnung und die russische Ausnahme

Die Erweiterung erfüllt, was sie verspricht: Sie blockiert Werbung auf Twitch, zwingt die Qualität auf 1080p, entsperrt Streams regional und sammelt Channel Points automatisch. Diese Leistung dient als Tarnung, was das Nutzerwachstum erklärt. Ein Detail, das die Zuordnung belegt, ist die codierte Allowlist im Binärformat: Zehn Kanäle russischer Streamer sind von der Token-Weiterleitung ausgenommen, d.h., wenn der Nutzer diese Kanäle ansieht, wird die Sitzung nicht erfasst. Dies ist das klassische Zeichen einer nationalen Operation mit doppeltem Nutzen, kommerziell und nachrichtendienstlich. Der erfasste Datenverkehr läuft über drei Endpunkte: einen /set-token-Pfad in der JeetBot-Infrastruktur und zwei sekundäre, die auf den Domains deno.dev und deno.net gehostet werden, wobei Deno eine serverlose Plattform ist, die die Zuordnung der Infrastruktur durch Reverse-Lookup erschwert.

Twitch, Google und Mozilla haben sich noch nicht geäußert

Bis zum Redaktionsschluss hatten weder Twitch, noch Google, noch Mozilla sich öffentlich zu der Erweiterung geäußert. Es gibt auch keine regulatorische Bestätigung, und die technische Offenlegung stützt sich vollständig auf den Bericht von Socket. Dies ist nicht irrelevant: Der übliche Zeitraum zwischen der Offenlegung und der Entfernung einer bösartigen Erweiterung aus den beiden Stores beträgt 24 bis 72 Stunden. Sollte dieser Zeitraum verstrichen sein, ändert sich die Unternehmenswahrnehmung, da die Erweiterung weiterhin das aktuelle Payload verteilt und das OAuth-Token weiterhin zu Servern außerhalb der Jurisdiktion einer westlichen Aufsichtsbehörde übermittelt.

Was sich für Sicherheitsteams in Unternehmen ändert

Kein CISO reguliert, welche Erweiterungen Mitarbeiter in ihrem persönlichen Browser installieren, aber alle regulieren, was innerhalb des Unternehmensperimeters läuft, und hier trifft das Muster ins Schwarze. Der JeetBot ist eine Verbrauchererweiterung, aber die Angriffsart – eine Erweiterung mit echtem Nutzen, die Credentials im Hintergrund exfiltriert – ist das gleiche Muster, das auch in Grammatik-Extensions, Screenshots und kostenlosen VPN-Clients zu finden ist, die Unternehmen immer noch auf verwalteten Maschinen tolerieren. Zwei praktische Überlegungen. Erstens, das Inventar der in Unternehmens-Endpoints installierten Erweiterungen muss wie ein Software-Inventar behandelt werden, mit einer Allowlist und einem Überprüfungszyklus und nicht als Nutzerpräferenz. Zweitens, die Widerrufung von OAuth-Sitzungen als Reaktion auf ein verdächtiges Ereignis darf nicht davon abhängen, dass der Nutzer sich abmeldet: Sie muss serverseitig beim Identitätsanbieter erfolgen. Beides scheint offensichtlich, und in den Audits, die Deloitte und KPMG 2026 veröffentlichen, werden es weiterhin die beiden häufigsten Lücken in mittelständischen Unternehmen in Europa und im südostasiatischen Raum sein.