"Twitch Enhanced Viewer | JeetBot"라는 이름의 악성 브라우저 확장 프로그램이 크롬과 파이어폭스에서 약 31,000명의 Twitch 사용자 OAuth 토큰(로그인 없이도 계정을 사용할 수 있는 인증 자격증명)을 러시아 상업용 봇 서비스의 프록시 서버로 몰래 전송해왔습니다. 이 토큰은 URL 쿼리 파라미터에 평문으로 포함되어 전송되므로, 탈취한 자는 비밀번호나 2단계 인증 없이도 해당 계정의 채팅, 개인 메시지, 계정 설정 등에 접근할 수 있습니다. 개발자는 v85.8.7에서 수정했다고 밝혔지만, 이미 전송된 토큰은 자동으로 무효화되지 않으므로 해당 확장 프로그램을 사용한 적 있는 이용자는 Twitch 계정의 연결된 앱 목록에서 토큰을 직접 취소해야 합니다. 글 작성 시점 기준으로 두 스토어에서 여전히 다운로드가 가능한 상태였습니다.
악성 Twitch 브라우저 확장 프로그램 'Twitch Enhanced Viewer | JeetBot'(Chrome: pnhhdhhcadcjfckjhpmjneldiegbojfb, Firefox: twitchenhancedviewer@example.com)이 사용자의 OAuth 토큰을 러시아 상업용 봇 서비스(jeetbot.cc) 소유의 프록시 서버로 유출했다. 약 31,000명이 영향을 받았다.
탈취된 OAuth 토큰은 베어러 자격증명(bearer credential)으로, 보유자는 비밀번호나 2단계 인증 없이 피해자 계정으로 채팅 읽기·쓰기, 개인 메시지(whisper) 열람, 채널 포인트 사용, 계정 설정 변경이 가능하다. 토큰은 URL 쿼리 문자열에 평문으로 기록되어 프록시 서버 로그에 남아 있다.
확장 프로그램이 Twitch의 스트림 플레이리스트 요청을 운영자 제어 프록시로 라우팅하는 과정에서 '&auth=' 쿼리 파라미터로 OAuth 토큰을 함께 전송했다. 스토어 설명에는 이 동작이 전혀 공개되지 않았다.
개발자는 Firefox v85.8.7에서 수정 완료, Chrome 버전은 스토어 심사 중이라고 밝혔다. 단, 업데이트 또는 비활성화로는 이미 전송된 토큰이 취소되지 않으며, 사용자가 Twitch 계정에서 직접 토큰을 무효화해야 한다.
조직 내 임직원이 해당 확장 프로그램을 설치했는지 확인하고, 사용 이력이 있다면 즉시 Twitch 계정의 '연결된 앱·세션' 설정에서 토큰을 취소하도록 안내해야 한다. 브라우저 확장 프로그램 설치 정책 및 허용 목록 관리를 재검토할 필요가 있다.
본문
Ravie Lakshmanan 2026년 9월 14일 | 악성코드 / 브라우저 보안
악성 크로스스토어 Twitch 브라우저 확장 프로그램이 러시아 상업용 봇 서비스가 운영하는 프록시 서버로 약 31,000명의 사용자 OAuth 토큰을 유출한 것으로 확인됐다.
"Twitch Enhanced Viewer | JeetBot"이라는 이름의 이 확장 프로그램은 개발자로 HISHIMIRO/jeetbot.cc를 표기하고 있으며, Google Chrome Web Store 및 Mozilla Firefox Add-Ons 스토어에서 각각 다음 식별자를 사용한다.
- Chrome - pnhhdhhcadcjfckjhpmjneldiegbojfb - 사용자 30,000명 (2025년 6월 26일 게시)
- Firefox - twitchenhancedviewer@example.com - 사용자 604명 (2025년 7월 7일 게시)
작성 시점 기준 두 확장 프로그램 모두 여전히 다운로드 가능하다. 확장 프로그램 설명에는 "JeetBot은 품질, 편의성, 제어를 중시하는 스트리머와 시청자를 위한 현대적인 도구"라고 소개하며, "제한 지역에서 1080p 스트림을 제공하는 방식으로 Twitch 기능을 확장한다"고 명시하고 있다.
Socket의 보안 연구원 Kush Pandya는 "현재 빌드(v85.x)는 운영자의 프록시로의 네트워크 계층 리다이렉트 시 토큰을 '&auth=' 쿼리 파라미터로 인라인 전달한다"고 밝혔다. "사용자가 시청하는 모든 채널에 대해 토큰이 전달되며, 러시아 스트리머 채널 열 곳이 하드코딩된 허용 목록에 포함돼 있어 이들 채널의 세션만 전달에서 제외된다."
"운영자는 Twitch, Kick, VK-Live 상업용 봇 SaaS를 운영 중이며, 광범위한 Twitch 호스트 권한을 보유하고 인증된 라이브 세션을 자체 인프라를 통해 중계한다."
이 확장 프로그램은 광고 없는 시청 경험과 지역 제한 해제 콘텐츠를 제공한다고 주장하지만, 실제로는 사용자의 OAuth 토큰을 "&auth=" 쿼리 파라미터로 포함시켜 Twitch의 비디오 플레이리스트 요청("usher.ttvnw[.]net")을 운영자 제어 프록시 서버를 통해 라우팅하는 방식으로 작동한다.
구체적으로, 이 애드온은 Twitch OAuth 토큰을 회수해 프록시로 전송하는 코드를 내장하고 있다. 해당 토큰은 사용자의 채팅, 귓속말(whisper, 즉 개인 메시지), 계정 설정에 대한 접근을 가능하게 한다.
토큰이 URL 쿼리 문자열에 삽입되므로 프록시 서버의 요청 로그에 평문으로 기록된다. 단, 토큰 리다이렉션 메커니즘은 하드코딩된 10개의 Twitch 채널 목록에는 적용되지 않으며, 대부분 수만 명 이상의 팔로워를 보유한 러시아어권 스트리머들이다.
- pch3lk1n (팔로워 580K)
- fasoollka (팔로워 361K)
- flamie (팔로워 132K)
- dosia (팔로워 29명)
- fander (팔로워 2명)
- almazer (팔로워 4명)
- forzorezor (팔로워 177K)
- akyuliych (팔로워 1.1M)
- lagoda1337 (팔로워 225K)
- lagoda (팔로워 77.3K)
Pandya는 "이 목록에 없는 모든 채널에서 사용자의 라이브 토큰이 프록시로 전달된다"고 설명했다. "초기 v4.x 빌드(예: 2026년 1월의 버전 4.8)는 한발 더 나아가, deno.dev와 deno.net을 백업으로 두고 운영자 호스트의 전용 set-token 엔드포인트에 토큰을 POST 방식으로 전송했다."
JeetBot은 "메시지 음성 합성, 자동 번역, 시청자와의 상호작용 강화를 위한 다양한 기능을 갖춘 Twitch, Kick, VK Live용 강력한 봇"으로 홍보하며, 26,000명 이상의 활성 스트리머와 10억 건의 처리된 메시지를 보유하고 있다고 주장한다. 사이트 하단에는 운영자로 키프로스 소재 개발자 Aleksandr Popov가 명시되어 있으며, 해당 개발자는 LinkedIn 프로필에서 JeetBot을 개인 프로젝트라고 밝히고 있다.
그러나 개발자는 이미 문제 해결을 위한 조치를 취한 것으로 보인다. JeetBot 문서 페이지에 게시된 공지에 따르면 Firefox 애드온 버전 85.8.7에서 문제가 수정되었으며, Chrome 버전은 현재 검토 중이라고 밝혔다.
이전 구현에서 확장 프로그램은 스트림 플레이리스트를 가져오기 위해 사용자의 Twitch OAuth 토큰을 프록시 서버로 전송했습니다. OAuth 토큰은 자격증명이므로 반드시 보호되어야 합니다.
버전 85.8.7은 플레이리스트를 가져오는 방식을 변경합니다. 이제 사용자의 OAuth 토큰은 더 이상 프록시로 전송되지 않습니다.
설치된 확장 프로그램 버전을 확인하고 85.8.7 이상으로 업데이트하십시오. 이전 메커니즘을 사용하는 구버전은 업데이트 전까지 계속 토큰을 전송합니다.
문서에는 확장 프로그램을 업데이트할 수 없는 경우, 토큰의 추가 전송을 막기 위해 일시적으로 비활성화할 것도 권고하고 있다. 다만 개발자는 확장 프로그램을 비활성화하거나 업데이트해도 이미 전송된 토큰이 취소되지는 않는다고 경고했다.
The Hacker News는 Socket과 개발자 양측에 추가 의견을 요청했으며, 답변이 오는 대로 기사를 업데이트할 예정이다.
Socket은 "Chrome과 Firefox를 합쳐 약 31,000명의 사용자가 운영자 제어 프록시 인프라를 통해 Twitch OAuth 세션 토큰을 실시간으로 라우팅하고 있다"고 밝혔다.
"Twitch OAuth 세션 토큰은 베어러 자격증명(bearer credential)입니다. 이를 보유한 자는 비밀번호나 2단계 인증 없이도 계정에서 행동할 수 있으며, 여기에는 귓속말 읽기 및 발송, 채팅 게시, 채널 포인트 사용이 포함됩니다. 이 노출 사실은 두 스토어 설명 어디에도 공개되지 않았습니다."
