Extensão maliciosa do Twitch expõe tokens OAuth de quase 31 mil usuários
Uma extensão de navegador criada para aparentar ser uma ferramenta de aprimoramento do Twitch estava, na realidade, capturando tokens de autenticação dos usuários. O complemento, chamado Twitch Enhanced Viewer e também identificado como JeetBot, alcançou aproximadamente 31 mil instalações somando as versões distribuídas para Chrome e Firefox.
A descoberta foi feita pelo pesquisador de segurança Kush Pandya, da Socket. A edição destinada ao Chrome reunia cerca de 30 mil usuários e estava disponível desde 26 de junho de 2025. Já a versão para Firefox, publicada em 7 de julho do mesmo ano, acumulava 604 instalações.
Promessa de melhor qualidade escondia roubo de credenciais
A extensão atraía usuários com a promessa de liberar transmissões em 1080p em regiões onde o Twitch impõe limitações de qualidade. Outro argumento usado para estimular a instalação era a possibilidade de assistir ao conteúdo sem anúncios.
A proposta parecia especialmente convincente para pessoas que buscavam melhorar a experiência na plataforma sem recorrer a configurações complexas. No entanto, enquanto oferecia os recursos anunciados, o complemento executava uma atividade oculta: interceptava o token de sessão associado à conta do Twitch e o enviava aos servidores controlados pelos operadores.
O código malicioso realizava o desvio por meio de um redirecionamento na camada de rede. O token era incluído como parâmetro de consulta durante a comunicação com a infraestrutura remota. Como esse processo ocorria fora dos elementos visíveis da interface, o usuário dificilmente perceberia o comportamento apenas ao utilizar a extensão.
Tokens eram armazenados sem proteção
Depois de coletados, os tokens permaneciam registrados em texto puro nos servidores dos criminosos. Esse tipo de armazenamento amplia o risco, pois qualquer invasor que consiga acessar a infraestrutura pode consultar diretamente as credenciais capturadas.
Embora o token não seja necessariamente a senha da conta, ele funciona como uma autorização temporária ou persistente para determinadas ações. Em mãos indevidas, pode permitir que terceiros entrem em áreas da conta sem precisar conhecer a senha tradicional.
Entre as ações potencialmente disponíveis estão o acesso ao chat, a leitura e o envio de mensagens privadas e a alteração de configurações do perfil. Dependendo das permissões associadas à sessão, o invasor também pode explorar a conta para aplicar golpes, enviar spam, promover campanhas fraudulentas ou tentar atingir outros usuários conectados ao mesmo perfil.
Extensão continuava disponível nas lojas
Até o momento em que a análise foi divulgada, as duas versões do Twitch Enhanced Viewer ainda podiam ser baixadas nas lojas oficiais de extensões. Essa situação mantinha a campanha ativa e permitia que novos usuários instalassem o complemento sem saber que havia uma rotina de exfiltração de dados em funcionamento.
A presença em uma loja oficial não deve ser interpretada como garantia absoluta de segurança. Embora essas plataformas adotem processos de análise, extensões maliciosas podem passar pelos filtros, especialmente quando o código nocivo é disfarçado entre funções legítimas ou ativado apenas em determinadas condições.
O que fazer se a extensão estiver instalada
A primeira providência é desativar e remover o Twitch Enhanced Viewer do navegador. Essa medida interrompe a execução do código local, mas não desfaz o vazamento dos tokens que já foram enviados.
Por isso, o usuário também deve encerrar todas as sessões ativas da conta do Twitch. A revogação força a invalidação das autorizações existentes e reduz a possibilidade de que os operadores continuem utilizando credenciais capturadas anteriormente.
Também é recomendável trocar a senha da conta, principalmente se ela for reutilizada em outros serviços. A nova senha deve ser exclusiva, longa e difícil de adivinhar. A ativação da autenticação em dois fatores acrescenta uma barreira importante contra acessos indevidos, embora não substitua a revogação dos tokens comprometidos.
Como identificar possíveis sinais de comprometimento
Após remover a extensão, o usuário deve revisar as configurações da conta e procurar alterações que não reconheça. Mudanças no endereço de e-mail, nome de usuário, métodos de recuperação, preferências de segurança ou dispositivos conectados podem indicar que a conta foi acessada por terceiros.
Também vale verificar o histórico de mensagens e a atividade recente. Mensagens privadas enviadas sem autorização, modificações em canais, alterações em inscrições ou comportamento incomum durante transmissões são sinais que merecem atenção.
Caso a conta esteja vinculada a serviços de pagamento, assinaturas ou outras plataformas, é prudente verificar movimentações recentes e revisar as autorizações concedidas. Mesmo que o objetivo inicial da campanha fosse o Twitch, uma conta comprometida pode ser usada para tentar atingir outros serviços relacionados.
Cuidados ao instalar extensões
Antes de instalar qualquer extensão, é importante analisar a quantidade de permissões solicitadas. Um complemento voltado para alterar a apresentação de vídeos, por exemplo, pode não precisar ler todos os dados de navegação ou acessar informações em diversos sites.
A reputação do desenvolvedor, o histórico de atualizações, as avaliações e os comentários de usuários também ajudam na análise. Muitos downloads não significam que uma extensão seja segura, pois campanhas maliciosas podem utilizar publicidade, avaliações artificiais ou descrições enganosas para ganhar visibilidade.
O ideal é instalar apenas ferramentas realmente necessárias e remover aquelas que deixaram de ser utilizadas. Quanto maior o número de extensões ativas, maior a superfície de ataque do navegador e maior a dificuldade para identificar qual componente provocou um comportamento suspeito.
Outra recomendação é manter o navegador atualizado e evitar versões modificadas ou obtidas fora das lojas oficiais. Atualizações corrigem falhas de segurança e podem incluir mecanismos capazes de bloquear extensões removidas ou classificadas como perigosas.
O caso do Twitch Enhanced Viewer reforça que recursos gratuitos, como desbloqueio de qualidade e remoção de anúncios, podem ser usados como isca para capturar dados de autenticação. A desinstalação é apenas o primeiro passo: quem utilizou a extensão deve revogar sessões, redefinir credenciais, ativar camadas adicionais de segurança e acompanhar a conta em busca de atividades não autorizadas.