ZYPERN / LONDON (IT BOLTWISE) – Eine bösartige Browser-Erweiterung für Twitch hat OAuth-Tokens von nahezu 31.000 Nutzern an Proxy-Server weitergeleitet. Die Tokens landeten dabei als Klartext in der URL und wurden damit in Server-Logs reproduzierbar erfasst. Betroffen sind vor allem Nutzer, die Twitch-Kanäle außerhalb einer kleinen Hardcode-Ausnahmeliste ansehen. Der Anbieter empfiehlt ein Update auf die Firefox-Version 85.8.7 und weist darauf hin, dass bereits übermittelte Tokens nicht automatisch widerrufen werden können.
Eine scheinbar harmlose Browser-Erweiterung für Twitch hat nach aktuellen Sicherheitsangaben OAuth-Session-Token von fast 31.000 Konten abgegriffen und über von dem mutmaßlichen Betreiber kontrollierte Proxy-Infrastruktur ausgeliefert. Der Kern des Problems liegt nicht in einem klassischen „Passwort-Diebstahl“, sondern im Zugriff auf ein OAuth-Bearer-Token: Wer dieses Token besitzt, kann ohne weitere Schritte wie Passwort oder zweiten Faktor auf die zugehörigen Funktionen des Kontos zugreifen. Für Betroffene bedeutet das konkret, dass je nach Token-Berechtigung nicht nur Chat-Nachrichten, sondern auch Flüster-Nachrichten (private Nachrichten) und Kontoaktionen möglich sind.
Technisch funktioniert der Angriff über eine bewusst platzierte Weiterleitung: Die Erweiterung „Twitch Enhanced Viewer | JeetBot“ stellt den Token als &auth=Query-Parameter über einen Redirect auf Betreiber-Hosts bereit. Ein Socket-Sicherheitsforscher beschreibt, dass aktuelle Builds (v85.x) das Token inline weiterleiten und es bei jedem Kanalaufruf transportieren, sofern der Kanal nicht in einer hardcodierten Ausnahmeliste von zehn Streamern steht. Die Ausnahmeliste betrifft dabei überwiegend russischsprachige Kanäle mit sehr unterschiedlichen Größenordnungen, während für alle übrigen Kanäle die Weiterleitung aktiv bleibt. Dadurch entsteht für den Angreifer eine wiederverwendbare „Durchlauf“-Pipe: Der Nutzerauthentifizierungszustand wird aus dem Browser-Kontext in die Proxysphäre verlagert.
Besonders brisant ist die Einbettung in die URL, denn Query-Strings landen typischerweise in Logging-Mechanismen. Wenn ein OAuth-Token in der Redirect-URL steht, kann es im Klartext in den Request-Logs des Proxy-Systems gespeichert werden, unabhängig davon, ob der Betreiber den Token später „weiterreicht“ oder intern auswertet. Zusätzlich lenkt die Erweiterung Playlist- und Stream-Zugriffe nicht direkt an die üblichen Video-Endpunkte, sondern über „usher.ttvnw[.]net“ über eigene Proxy-Server um. Damit koppelt sie die für den Nutzer sichtbare Wiedergabe an die Infrastruktur des Betreibers, der dadurch den Datenfluss rund um authentifizierte Sitzungen kontrolliert.
Der Umfang ergibt sich aus den Store-Nachweisen, die im Sicherheitskontext genannt werden: Im Google Chrome Web Store wird die Erweiterung mit rund 30.000 Nutzern geführt (u. a. mit einer Veröffentlichungsangabe vom 26. Juni 2025). Für Firefox werden etwa 604 Nutzer genannt, mit einer Veröffentlichung vom 7. Juli 2025. Beide Varianten seien zum Zeitpunkt der Berichterstattung weiterhin herunterladbar gewesen, und in den Beschreibungen wird die Funktionalität als „JeetBot“ vermarktet, inklusive Werbeversprechen wie werbefreiem Erlebnis und Region-Unlocking. Gleichzeitig wird das OAuth-Token-Handling als Teil der Mechanik sichtbar, indem die Erweiterung Code zur Token-Rückgewinnung enthält und an die Proxy-Infrastruktur sendet.
Auch die Anspruchshaltung als Bot-Software passt in das Muster: Auf der JeetBot-Seite wird ein Funktionsumfang beworben, der von Speech-Synthese und automatischer Übersetzung bis hin zu Interaktionsfeatures reicht. Der Betreiber tritt dabei als kommerzieller Bot-Dienst auf, der Twitch-, Kick- und VK-Live-Host-Permissions nutzt und damit live authentifizierte Sessions über die eigene Infrastruktur „relayed“. Diese Kombination aus weitreichenden Host-Berechtigungen und dem Token-Transport über eine Redirect-Logik erklärt, warum das Risiko nicht nur auf dem Display-Niveau liegt, sondern tief in die Authentifizierungsebenen eingreift. Für Unternehmen mit Fokus auf Security Engineering ist dabei vor allem die Kette relevant: Store-Distribution, OAuth-Token als Bearer Credential, Transport über URL, Logging beim Proxy.
In der Zwischenzeit nennt der Anbieter in der Dokumentation eine konkrete Gegenmaßnahme für Firefox: Version 85.8.7 behebe das Problem, indem der Playlist-Zugriff so geändert werde, dass das OAuth-Token nicht mehr an die Proxy-Server gesendet wird. Für Chrome sei eine gleichwertige Version „derzeit in Prüfung“; ältere Installationen würden das Token offenbar weiterhin übertragen, bis sie aktualisiert werden. Zudem wird Nutzerinnen und Nutzern empfohlen, die Erweiterung vorübergehend zu deaktivieren, falls sie nicht verfügbar ist, um weitere Übertragungen zu stoppen. Gleichzeitig gibt es eine wichtige Einschränkung: Der Entwickler weist darauf hin, dass Deaktivieren oder Update bereits übermittelte Tokens nicht automatisch entwerten.
Damit verschiebt sich die Priorität für Betroffene vom reinen Updatehinweis hin zu praktischen Authentifizierungsmaßnahmen: Wer mit einer älteren Version aktiv Twitch genutzt hat, sollte seine Sessions als potenziell kompromittiert betrachten. Für die Praxis heißt das, je nach Plattform-Optionen das Abmelden beendeter Sessions oder die erneute Authentifizierung nachzuziehen, um Tokens, die bereits weitergereicht wurden, zu beenden. In der breiteren Branche ist das ein weiterer Hinweis darauf, wie schnell „Convenience“-Erweiterungen in eine Sicherheitsfalle geraten können, wenn Entwickler Zugang zu OAuth-Mechanismen erhalten und Token-Handling nicht strikt nach dem Prinzip der minimalen Exposition umsetzen.
Auch regulatorisch und prozessual entsteht daraus ein Handlungsdruck: Store-Verantwortliche und Nutzeraufklärung müssen sichtbar machen, dass Erweiterungen nicht nur UI-Funktionen sind, sondern Web-Requests und Authentifizierungsmomente beeinflussen können. Dass eine Token-Weiterleitung in Store-Listings nicht als Risiko transparent dokumentiert war, wird im Sicherheitskontext explizit kritisiert. Für Security-Teams in Organisationen mit Mitarbeitenden, die Browser-Integrationen nutzen, lohnt sich außerdem eine saubere Policy gegen unautorisierte Erweiterungen sowie regelmäßige Inventarisierung installierter Add-ons. Der Fall zeigt damit zugleich die technische Ursache und die Betriebslogik dahinter: Token sind nicht „Daten“, die man gefahrlos weiterleitet – sie sind Zugang.
Alternative Titelvarianten unterstreichen daher unterschiedliche Perspektiven: Der Ausfallmechanismus über Proxys und URL-Weiterleitung, das Ausmaß über die Store-Nutzerzahlen oder die konkrete Gegenmaßnahme durch das Update auf Firefox 85.8.7. Für den Markt ist vor allem die Signalwirkung entscheidend: Auch wenn die Erweiterung zeitnah angepasst wird, bleibt die Zeitspanne der Verwundbarkeit ein Risiko, weil bereits transportierte Tokens nicht automatisch zurückgesetzt werden. Der technische Fokus liegt damit auf Token-Weitergabe, die organisatorische Konsequenz auf schnellen Updates und konsequentem Session-Management.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Bösartige Twitch-Browser-Erweiterung leakt OAuth-Tokens von fast 31.000 Nutzern" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Bösartige Twitch-Browser-Erweiterung leakt OAuth-Tokens von fast 31.000 Nutzern" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Bösartige Twitch-Browser-Erweiterung leakt OAuth-Tokens von fast 31.000 Nutzern« bei Google Deutschland suchen, bei Bing oder Google News!