크롬과 파이어폭스 공식 스토어에 올라온 브라우저 확장 프로그램 'Twitch Enhanced Viewer | JeetBot'이 사용자의 Twitch OAuth 토큰(로그인 인증에 쓰이는 열쇠 값)을 몰래 외부 서버로 전송하고 있는 것으로 드러났습니다. 이 확장 프로그램은 광고 차단·고화질 재생 등 유용한 기능을 내세워 3만 건 이상 설치됐지만, 실제로는 Twitch 영상 재생 요청을 러시아 봇 서비스 JeetBot의 프록시 서버로 우회시키면서 URL에 토큰을 평문(암호화 없이)으로 노출합니다. 탈취된 토큰은 서버 로그에 그대로 남아 서비스 운영자가 손쉽게 확인할 수 있으며, 이를 악용하면 피해자의 Twitch 계정에 무단 접근이 가능합니다. 기사 게재 시점 기준으로 해당 확장 프로그램은 두 스토어 모두에 여전히 등록된 상태입니다. 사용자는 즉시 확장 프로그램을 삭제하고 Twitch의 모든 세션을 종료한 뒤 재로그인하여 기존 토큰을 무효화해야 합니다.
크롬·파이어폭스 공식 스토어에서 3만 건 이상 설치된 'Twitch Enhanced Viewer | JeetBot' 브라우저 확장 프로그램이 사용자의 Twitch OAuth 토큰을 러시아 상업 봇 서비스 JeetBot의 프록시 서버로 유출하고 있음이 보안 기업 Socket의 분석으로 밝혀졌다.
탈취된 OAuth 토큰이 프록시 서버 요청 로그에 평문으로 기록되어 서비스 운영자가 언제든 수집 가능하며, 이를 통해 피해자의 Twitch 계정에 무단 접근할 수 있다. 사용자가 시청하는 모든 채널에서 토큰이 유출된다.
확장 프로그램이 Twitch 영상 재생 요청(usher.ttvnw[.]net)을 JeetBot 프록시로 리디렉션하면서 OAuth 토큰을 URL 쿼리 파라미터(&auth=)에 평문으로 첨부한다. 개발자는 크롬 스토어 개인정보 공시에서 '데이터를 수집·사용하지 않는다'고 허위 선언했다.
Socket이 위협을 공개 보고했으나, 기사 게재 시점 기준 확장 프로그램은 Chrome Web Store·Firefox Add-Ons 스토어 양쪽에 모두 등록 상태 유지 중이다. JeetBot 측은 BleepingComputer의 질의에 응답하지 않았다.
해당 확장 프로그램 사용자는 즉시 삭제 후 Twitch 전체 세션 종료 및 재인증으로 기존 토큰을 무효화해야 한다. 개발자는 인증 헤더·토큰을 서드파티 서버로 라우팅하는 구조를 설계 단계에서 배제해야 한다.
본문
크롬 및 파이어폭스 공식 스토어에서 제공되는 브라우저 확장 프로그램 'Twitch Enhanced Viewer | JeetBot'이 사용자의 Twitch OAuth 세션 토큰을 상업용 봇 서비스로 전송하고 있는 것으로 나타났다.
이 확장 프로그램은 3만 건 이상 설치됐으며, Twitch 광고 차단·1080p(풀 HD) 강제 재생·지역 제한 우회·채널 포인트 자동 수집 기능을 지원하는 정식 서드파티 도구로 홍보되고 있다.
그러나 애플리케이션 보안 기업 Socket의 분석에 따르면, 이 확장 프로그램은 Twitch 웹 클라이언트가 사용하는 인증 헤더를 캡처해 사용자의 OAuth 토큰을 추출한 뒤 프록시 서버를 통해 자격증명을 전송한다.
해당 서버는 Twitch·Kick·VK Live를 위한 도구를 제공하는 러시아어권 상업 스트리밍·챗봇 서비스 JeetBot이 운영하고 있다.
현재 버전의 확장 프로그램은 리디렉션된 프록시 요청에 토큰을 auth= URL 파라미터로 직접 첨부하며, 이 값은 프록시 서버의 요청 로그에 남아 소프트웨어 벤더가 손쉽게 조회할 수 있다.
Socket은 "확장 프로그램이 Twitch의 영상 재생 목록 요청(usher.ttvnw[.]net)을 프록시로 리디렉션할 때 토큰을 &auth= 쿼리 파라미터로 추가한다"고 밝혔다.
"토큰이 URL 쿼리 문자열에 삽입되므로 프록시 서버의 요청 로그에 평문으로 기록된다."
이 과정은 확장 프로그램 코드에 하드코딩된 러시아어권 채널 10개를 제외하고, 사용자가 시청하는 모든 Twitch 채널에서 발생한다.
Chrome Web Store에 등록된 악성 확장 프로그램
출처: BleepingComputer.com
Socket은 이전 버전의 확장 프로그램에는 더 노골적인 자격증명 탈취 메커니즘이 포함되어 있었다고 강조했다.
개발자는 Firefox Add-ons 스토어의 제품 설명에 이전에 사용된 메커니즘에 대한 고지를 다음과 같이 남겨 두었다.
"이전 버전의 확장 프로그램은 귀하의 OAuth-twitch 토큰을 당사 서버로 전송합니다. 이는 스트림을 1080/1440p로 재생하기 위해 필요합니다." [기계 번역]
Chrome 버전의 Twitch Enhanced Viewer | JeetBot 데이터 개인정보 공시에는 개발자가 "귀하의 데이터를 수집하거나 사용하지 않을 것임을 공시했다"고 명시되어 있다.
이 공시는 승인된 경우를 제외한 제3자 데이터 판매, 제품의 "핵심 기능" 외 목적의 데이터 이전, "신용도 판단 또는 대출 목적" 이전을 금지하는 내용을 담고 있다.
기사 게재 시점 기준으로 해당 확장 프로그램은 Chrome Web Store와 Firefox Add-Ons 스토어 양쪽에 여전히 등록되어 있다.
BleepingComputer는 Chrome Web Store에 기재된 이메일 주소로 JeetBot에 추가 정보를 요청했으나, 기사 게재 전까지 답변을 받지 못했다.
Socket 연구원들은 해당 확장 프로그램이 보안 위험을 초래한다고 판단하며, 사용자에게 브라우저에서 삭제하고 Twitch의 모든 세션을 종료한 뒤 재인증하여 전송됐을 수 있는 토큰을 무효화할 것을 권고했다.
개발자들에게는 인증 헤더나 토큰이 포함된 요청을 서드파티 서버로 라우팅하지 말 것을 조언했다.
AI 기반 공격에 대한 보안 청사진 구축
Mikko Hyppönen과 NFL·CHANEL·Atlassian의 보안 리더들이 함께하는 2시간짜리 디지털 서밋에 참여하세요. AI 속도의 공격이 무엇을 바꾸는지, 방어자가 멈춰야 할 것은 무엇인지, 그리고 기계 속도로 검증·결정·수정·재검증하는 방법을 다룹니다.
자리를 예약하세요
같은 소식, 다른 매체 보도1건
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
