Extensão JeetBot expõe tokens OAuth de 31 mil no Twitch

Como uma extensão inofensiva virou infraestrutura de coleta

A Socket Threat Research Team publicou na segunda-feira, 14 de setembro, o dossiê técnico da "Twitch Enhanced Viewer | JeetBot", extensão de navegador que roteia tokens OAuth de sessão do Twitch para servidores de proxy operados por um serviço comercial de bots baseado na Rússia. A extensão tem 30 mil instalações na Chrome Web Store e 552 no Firefox Add-ons, e opera assim desde a versão 4.8, publicada em janeiro. Em ambas as lojas, a página do produto declara que o desenvolvedor "não coleta nem usa dados do usuário". Segundo a Socket, essa declaração é falsa e contradiz o comportamento em runtime da versão 85.x, distribuída neste momento.

O que o token permite

O credencial capturado não é um token de playback com escopo restrito, é o token OAuth completo da conta. Quem possui esse token, sem exigir senha ou 2FA, consegue ler e enviar sussurros na plataforma, participar do chat como o titular, alterar configurações da conta e gastar channel points. Em uma base de 31 mil contas, a mecânica libera desde manipulação de mercados de assinaturas até engenharia social contra streamers com audiência grande. O ponto que interessa ao CISO corporativo não é o Twitch em si, é o padrão: uma extensão com propósito legítimo declarado, distribuída pelos canais oficiais das duas maiores lojas de navegador, capturou credenciais por nove meses antes de qualquer alerta público.

O disfarce e a exceção russa

A extensão entrega o que promete: bloqueia anúncios do Twitch, força qualidade 1080p, desbloqueia streams por região e recolhe channel points automaticamente. Essa entrega é o disfarce, e por isso a base de usuários cresceu. O detalhe que amarra a atribuição é a allowlist codificada dentro do binário: dez canais de streamers russos ficam isentos do encaminhamento de token, ou seja, quando o usuário assiste a esses canais, a sessão não é capturada. É a assinatura clássica de operação nacional com uso duplo, comercial e de inteligência. O tráfego capturado sai por três endpoints: um caminho /set-token na infraestrutura JeetBot e dois secundários hospedados em deno.dev e deno.net, sendo o Deno uma plataforma serverless que dificulta a atribuição de infraestrutura por reverse-lookup.

Twitch, Google e Mozilla ainda não confirmaram

Até o fechamento desta matéria, nem Twitch, nem Google, nem Mozilla haviam se pronunciado publicamente sobre a extensão. Também não há confirmação regulatória, e a divulgação técnica se apoia inteiramente no relatório da Socket. Isso não é irrelevante: o intervalo habitual entre disclosure e remoção de uma extensão maliciosa das duas lojas é de 24 a 72 horas. Se essas 72 horas passarem sem retirada, a leitura corporativa muda, porque a extensão continua distribuindo o payload atual e o token OAuth continua trafegando para servidores fora da jurisdição de qualquer regulador ocidental.

O que muda para times de segurança em empresas

Nenhum CISO regula quais extensões o funcionário instala no navegador pessoal, mas todos regulam o que roda dentro do perímetro corporativo, e é aqui que o padrão bate na porta. O JeetBot é uma extensão de consumo, mas o modo de ataque, uma extensão com utilidade real que exfiltra credencial no plano de fundo, é o mesmo padrão que aparece em extensões de gramática, de captura de tela e em clientes de VPN gratuitos que empresas ainda toleram em máquinas gerenciadas. Duas leituras práticas. Primeiro, o inventário de extensões instaladas em endpoints corporativos precisa ser tratado como inventário de software, com allowlist e ciclo de review, não como preferência do usuário. Segundo, revogar sessão OAuth em resposta a um evento suspeito não pode depender de o usuário fazer logout: tem que ser server-side, no provedor de identidade. As duas coisas parecem óbvias, e nas auditorias que Deloitte e KPMG publicam em 2026, seguem sendo os dois furos mais recorrentes em empresas médias na Europa e no Sudeste Asiático.