Une extension Twitch malveillante a exfiltré les jetons OAuth de 31 000 utilisateurs

L’équipe de recherche de Socket a révélé le 11 septembre 2026 qu’une extension de navigateur populaire auprès des spectateurs Twitch, « Twitch Enhanced Viewer | JeetBot », transmettait les jetons OAuth de ses utilisateurs à des proxys exploités par un service commercial russophone de bots. Environ 31 000 installations étaient concernées sur Chrome et Firefox. Le jeton transitait en clair dans l’URL des requêtes, et donc dans les journaux des serveurs tiers. Au-delà de Twitch, l’affaire illustre un risque très concret pour les entreprises : une extension « de confort » peut exposer des identifiants de session sans qu’aucun mot de passe ne soit volé.

Ce qui s’est passé

L’extension était distribuée sur le Chrome Web Store et sur Firefox Add-ons. Le service JeetBot, auquel elle est rattachée, est un SaaS commercial russophone de bots pour Twitch, Kick et VK Live. Socket, spécialiste de la sécurité de la chaîne d’approvisionnement logicielle, a analysé son code et publié ses conclusions le 11 septembre 2026, avec deux mises à jour les 16 et 25 septembre après la réaction de l’éditeur.

Le constat central : pour toute chaîne Twitch, la requête de lecture vidéo était redirigée vers un proxy contrôlé par l’éditeur, avec le jeton OAuth de l’utilisateur ajouté en paramètre d’URL. Une exception révélatrice existait : pour une liste codée en dur de dix chaînes de streamers russophones, le trafic passait par le même proxy… sans le jeton. Pour Socket, cela démontre que le jeton n’était pas nécessaire au fonctionnement du service.

Analyse technique

Comment le jeton était capturé et transmis

D’après l’analyse de Socket, la chaîne se déroulait ainsi :

• un script de contenu lisait l’en-tête Authorization utilisé par Twitch ainsi que l’identifiant d’appareil, puis les transmettait au service d’arrière-plan de l’extension ;
• celui-ci extrayait le jeton OAuth brut et le validait auprès de l’endpoint de validation de Twitch ;
• les requêtes vidéo vers usher.ttvnw.net étaient redirigées vers le proxy de l’opérateur, avec le jeton ajouté dans un paramètre &auth= ;
• placé dans la chaîne de requête, le jeton apparaissait en clair dans les journaux du proxy.

Le mécanisme était identique sur les deux navigateurs : un écouteur webRequest bloquant sur Firefox, une règle declarativeNetRequest de substitution par expression régulière sur Chrome. Le serveur de l’opérateur déterminait dynamiquement quel proxy recevait le trafic.

Des versions antérieures plus directes

Les versions 4.x (par exemple la 4.8, de janvier 2026) allaient plus loin : un module envoyait explicitement le jeton par requête POST à un endpoint set-token sur l’infrastructure de l’opérateur, avec des serveurs de secours hébergés sur Deno. Les erreurs d’envoi étaient ignorées silencieusement, et un mécanisme évitait les envois répétés, ce qui suggère, selon Socket, un stockage des jetons côté serveur. Ces endpoints ont ensuite été désactivés et n’apparaissent plus dans les versions récentes.

Pourquoi ce jeton est sensible

Le jeton concerné n’est pas un simple jeton de lecture vidéo : il est lié au compte. Quiconque le détient peut, selon Socket, lire et envoyer des messages privés, publier dans le chat, consulter des paramètres du compte et dépenser des points de chaîne, sans connaître le mot de passe et sans déclencher de second facteur. C’est précisément ce qui rend ce type de fuite dangereux : l’authentification forte est contournée parce que la session est déjà établie.

Qui est concerné ?

Directement : les utilisateurs de l’extension ayant installé une version antérieure à 85.8.7 (Firefox) ou 85.8.9 (Chrome). Indirectement, toute organisation qui laisse ses collaborateurs installer librement des extensions sur des navigateurs utilisés aussi pour des services professionnels : équipes marketing ou communication gérant des comptes de diffusion, créateurs de contenu, mais aussi tout poste où une extension disposant de permissions étendues voit passer des en-têtes d’authentification.

Pourquoi c’est important pour votre organisation

Les extensions de navigateur ont accès à des données extrêmement sensibles : en-têtes d’authentification, cookies de session, contenu des pages. Une extension qui redirige le trafic vers un proxy tiers peut capter des jetons d’accès à des applications SaaS, sans malware classique ni alerte de l’antivirus. Les déclarations de confidentialité des magasins d’extensions ne constituent pas une garantie : dans ce cas, elles affirmaient explicitement l’absence de collecte de données.

Ce risque est d’autant plus difficile à repérer que les mises à jour des extensions sont automatiques : une extension anodine au moment de son installation peut changer de comportement des mois plus tard.

Lecture MITRE ATT&CK

Correspondance proposée par Socket dans son analyse :

Recommandations

1. ImmédiatMettre à jour ou supprimer l’extension

   Recherchez dans votre parc l’identifiant Chrome pnhhdhhcadcjfckjhpmjneldiegbojfb et l’identifiant Firefox twitchenhancedviewer@example.com. Signalez toute version antérieure à 85.8.7 (Firefox) ou 85.8.9 (Chrome).

2. ImmédiatRévoquer les sessions Twitch

   Les utilisateurs concernés doivent se déconnecter de toutes les sessions Twitch puis se réauthentifier, afin d’invalider les jetons potentiellement exposés.

3. Court termeMettre en place une liste blanche d’extensions

   Via les politiques de gestion de Chrome, Edge et Firefox, n’autorisez que les extensions validées et bloquez l’installation libre sur les postes professionnels.

4. Court termeÉvaluer les permissions plutôt que la description

   Considérez comme à risque toute extension disposant de permissions sur des domaines authentifiés et redirigeant du trafic vers des destinations tierces, quel que soit son discours marketing.

5. Moyen termeInventorier et surveiller en continu

   Intégrez l’inventaire des extensions à votre gestion des actifs et surveillez, via le proxy ou le DNS, les connexions vers des domaines de proxy inconnus depuis les navigateurs.

6. Moyen termeSensibiliser les utilisateurs

   Expliquez qu’une extension gratuite promettant de bloquer les publicités ou de débloquer du contenu peut avoir accès à toutes les sessions ouvertes dans le navigateur.