Twitch: Extensión JeetBot revela 31 mil tokens OAuth

Cómo una extensión inofensiva se convirtió en una infraestructura de recolección

El equipo de investigación de amenazas de Socket publicó el lunes 14 de septiembre, el dossier técnico de "Twitch Enhanced Viewer | JeetBot", una extensión de navegador que redirige tokens OAuth de sesión de Twitch a servidores proxy operados por un servicio comercial de bots basado en Rusia. La extensión tiene 30 mil instalaciones en Chrome Web Store y 552 en Firefox Add-ons, y opera así desde la versión 4.8, publicada en enero. En ambas tiendas, la página del producto declara que el desarrollador "no recopila ni utiliza datos del usuario". Según Socket, esta declaración es falsa y contradice el comportamiento en tiempo de ejecución de la versión 85.x, que se está distribuyendo actualmente.

Lo que permite el token

La credencial capturada no es un token de reproducción con alcance restringido, es el token OAuth completo de la cuenta. Quien posee este token, sin requerir contraseña o 2FA, puede leer y enviar susurros en la plataforma, participar en el chat como el titular, cambiar configuraciones de la cuenta y gastar puntos de canal. En una base de 31 mil cuentas, la mecánica permite desde manipulación de mercados de suscripción hasta ingeniería social contra streamers con gran audiencia. El punto que interesa al CISO corporativo no es Twitch en sí, es el patrón: una extensión con un propósito legítimo declarado, distribuida por los canales oficiales de las dos principales tiendas de navegadores, capturó credenciales durante nueve meses antes de cualquier alerta pública.

El disfraz y la excepción rusa

La extensión cumple con lo que promete: bloquea anuncios de Twitch, fuerza calidad 1080p, desbloquea streams por región y recoge automáticamente puntos de canal. Esta entrega es el disfraz, y por eso la base de usuarios ha crecido. El detalle que amarra la atribución es la lista blanca codificada dentro del binario: diez canales de streamers rusos quedan exentos del reenvío de token, es decir, cuando el usuario asiste a esos canales, la sesión no es capturada. Es la firma clásica de operación nacional con uso dual, comercial y de inteligencia. El tráfico capturado sale por tres endpoints: un camino /set-token en la infraestructura de JeetBot y dos secundarios hospedados en deno.dev y deno.net, siendo Deno una plataforma serverless que dificulta la atribución de infraestructura mediante reverse-lookup.

Twitch, Google y Mozilla aún no han confirmado

Hasta el cierre de este artículo, ni Twitch, ni Google, ni Mozilla habían comentado públicamente sobre la extensión. Tampoco hay confirmación regulatoria, y la divulgación técnica se apoya enteramente en el informe de Socket. Esto no es irrelevante: el intervalo habitual entre la divulgación y la eliminación de una extensión maliciosa de las dos tiendas es de 24 a 72 horas. Si estas 72 horas pasan sin retiro, la lectura corporativa cambia, porque la extensión sigue distribuyendo el payload actual y el token OAuth continúa transitando a servidores fuera de la jurisdicción de cualquier regulador occidental.

Qué cambia para los equipos de seguridad en las empresas

Ningún CISO regula qué extensiones instala el empleado en su navegador personal, pero todos regulan lo que opera dentro del perímetro corporativo, y es aquí donde el patrón llama a la puerta. El JeetBot es una extensión de consumo, pero el modo de ataque, una extensión con utilidad real que exfiltra credenciales en segundo plano, es el mismo patrón que aparece en extensiones de gramática, de captura de pantalla y en clientes de VPN gratuitos que las empresas todavía toleran en máquinas gestionadas. Dos lecturas prácticas. Primero, el inventario de extensiones instaladas en endpoints corporativos debe ser tratado como inventario de software, con lista blanca y ciclo de revisión, no como preferencia del usuario. Segundo, revocar sesión OAuth en respuesta a un evento sospechoso no puede depender de que el usuario cierre sesión: debe ser del lado del servidor, en el proveedor de identidad. Ambas cosas parecen obvias, y en las auditorías que Deloitte y KPMG publicarán en 2026, siguen siendo los dos fallos más recurrentes en empresas medianas en Europa y el Sudeste Asiático.