聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

匿名用户在 4chan 网站上泄露了互动性直播平台 Twitch 的源代码和员工、用户的敏感信息等共计125GB，据称是从Twitch 约6000个 Git 仓库中盗取的。

这名泄密者在帖子中指出，“他们的社区也是藏污纳垢之所，所以为了在线视频流空间中造成更多的破坏和竞争，我们彻底入侵，并且在第一阶段发布了近6000个内部 Git 仓库中的源代码。”

遭泄露的信息

这名匿名用户称，被泄露的 Twitch 数据包括：

• 整个 twitch.tv，其中commit 历史可追溯到早期阶段

• 移动版、桌面版和视频游戏控制台的 Twitch 客户端

• Twitch 使用的多种专有 SDK 和内部 AWS服务

• Twitch 拥有的其它财产，包括 IGDB 和 CurseForge

• Amazon Game Studios 未发布的 Steam 竞争者

• Twitch SOC 内部红队工具

• 从2019年至今的直播主收入报告

这名匿名发帖人将自己发的消息命名为 “twitch泄露第一部分“，意指未来将发布更多的被盗数据。

Twitch 随后证实称这些被泄露信息属实。该平台指出，由于“Twitch 服务器配置更改中存在的一个错误被恶意第三方访问”，导致“某些数据”暴露在互联网，并表示目前团队正在紧急调查但尚未发现登录凭据遭暴露的证据。

然而，匿名独立研究员指出，在一个被泄露的数据库中发现了以明文形式存储的直播主邮件地址和密码。其它数据库中包含个人数据，如包含1000多份Twitch 向多个平台出具的退款。这些记录包括相关人员的全名、邮件地址、买家评论和金额等。这名研究员指出被泄露的还有后台员工的姓名、邮件地址和职位等。研究员还发现 Twitch 一直在搜刮竞争对手的实时频道和浏览量服务信息。

承诺整改

这次泄露事件可能是因 Twitch 未响应并发布有效工具阻断8月份针对直播主的仇视造成的，这一猜测是从这名匿名用户也使用#DoBetterTwitch 的标签推断得出的。直播主在推特上使用该标签分享了自己的 Twitch 直播聊天中涌入骚扰的僵尸机器人。

Twitch 平台最终承认了这一事实并表示将在今年晚些时候推出账户验证和频道层面的禁令躲避检测工具。该平台表示，“感谢所有人分享了这些困难的体验。我们在主动性过滤器中找到了一个漏洞，并已发布更新解决该问题，并且检测聊天中的仇视言论。“

推荐阅读

微软低代码工具 Power Apps 配置不当，暴露3800万条数据记录

Git 仓库配置不当 日产北美公司的源代码遭泄露

苹果搜索机器人因代理服务器配置不当泄漏内部 IP

Kramdown 配置不当引发 GitHub Pages 多个 RCE，得 $2.5万（$6.1万系列之二）

原文链接

https://www.bleepingcomputer.com/news/security/massive-twitch-hack-source-code-and-payment-reports-leaked/

https://threatpost.com/twitch-leak-emails-passwords/175390/

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

 觉得不错，就点个 “在看” 或 "赞” 吧~