Twitch Booster

Ordinateur infecté par Twitch Booster

Diffusion du virus

Ce virus fût crée en juillet 2016 par le forumeur Jewstice, un forumeur du forum blabla 18-25 ans de jeuxvideo.com. Ce virus fût diffusé manuellement sur Twitch la même année, par les membres du 18-25.

Des membres du 18-25 se donnaient RDV sur un serveur vocal discord (Twitch Game, Risiraid ou Team Exood) afin de pouvoir communiquer, les membres se rendaient ensuite massivement sur un live d'un streamer débutant et avec peu de viewers, ils signalaient des dysfonctionnements sur le live (bugs, freezes et lags). Pour y remédier, le 18-25 proposait au streamer d'installer un logiciel qui allait régler tout les problèmes. Le virus était promu dans une fausse vidéo tutoriel, qui proposait de télécharger l' extension Twitch Booster dans la description (Cette vidéo fût réalisée par un proche de Jewstice). Si le streamer était naïf et qu' il fesait confiance au 18-25, il telechargait le virus via un lien Mega. Si le streamer avait un antivirus, il détectait Twitch Booster comme étant malveillant, cependant le 18-25 insistait, en expliquant qu'il s' agit d'un faux positif. Le streamer lançait ensuite le virus sur son PC.

Le virus gagna rapidement en popularité, et le logiciel Twitch Booster, commença à être connu comme étant dangereux. Le virus fût donc également distribué sous le nom Twitch+ et StreamHelpersSetup, afin de ne pas éveiller les soupçons. Ce virus est également surnommé "Virus 18 25" et "Virus Risitas", car il fait référence a Juan Joya Borja, un meme internet et une icône des forums de jeuxvideo.com.

Le troll était filmé et si il réussissait, la vidéo était évidement diffusé sur YouTube. Le nombre de vidéos ou nous voyons des personnes se faire pirater font légion sur internet, donc soyez prudents quand vous installez un logiciel.

Fonctionnement du virus

Twitch Booster a un fonctionnement extrêmement simple, vu qu' il a entièrement été codé en Batch et en VBScript, il s' agit en réalité de plusieurs fichiers qui ont été rassemblés dans un exécutable avec l'outil Iexpress qui est très mal réputé pour créer des packages. Les autres exécutables comme le jeu snake ou l'effet "melting" n'ont pas été créé par Jewstice. Ce sont des fichiers récupérées à droite à gauche sur internet et insérés dans la chaîne d'exécution.

Le virus est extrêmement perturbateur et destructeur, après avoir été exécuté, il enchaîne les payloads visuels pour forcer la victime à réaliser qu' elle vient de perdre le contrôle de son ordinateur. Contrairement aux rumeurs, le virus ne détruit pas physiquement la machine, il remplace juste le MBR avant de supprimer tout le contenu de l' ordinateur.

Voici le fonctionnement de la version originale du virus :

-Dés son lancement, un certain popup "booster.exe" va demander des droits administrateur, si ils sont accordés, le virus va remplacer le MBR de l' ordinateur, par un jeu Snake, récupéré sur ce topic. Ce qui rend l' extinction de l' ordinateur fatale, vu qu' au prochain redémarrage, le jeu snake va se lancer à la place du système d'exploitation.

-Des fichiers .vbs sont créés et le virus se clone dans le démarrage de windows si la victime possède un GPT.

-Faux messages d'installation. Une fois que ceci sont fermés un compte à rebour de 74 secondes se lance avant que le virus lance un très grand nombre de pages dans le navigateur, montrant une image pornographique notoire ou l' on y voit un homme avec un cactus enfoncé dans l'anus. L' image est connue sous le nom de screamer cactus.

-60 secondes d'attente

-Une voix venant du synthétiseur vocal de Microsoft prononce cette phrase : "Coucou, je suis juste la petite voix qui te dit que le 18 25 vient de détruire ton PC et ce à tout jamais. Amuse toi bien a le réparer fils de viol, très content. Dedi aux kheys du 18 25."

-Le virus ferme les programmes suivants si ils sont ouverts, afin que la victime puisse avoir une parfaite vue du désastre sur son ordinateur : - Google Chrome - Mozilla Firefox - Microsoft Edge (ne marche plus pour la nouvelle version de msedge) - Internet Explorer - Garry's Mod - Minecraft (Également le processus javaw.exe) Le virus ferme également explorer.exe, cela a pour effet de désactiver le bureau, le menu démarrer, la barre des taches et l'accès aux fichiers personnels.

-Le virus change le fond d'écran par une image de risitas venant de cette vidéo

-Le virus joue la musique Issou Night Club de Remi Flip, cette musique est un remix de Five Hours de Deorro.

-Un effet "melting" s'ajoute au fond d'écran.

-La trappe du lecteur CD s'ouvre en boucle, sans se refermer.

-Les leds ver maj, ver num et arrêt défil du clavier clignotent en boucle, car le virus appuie très rapidement sur ces 3 touches du clavier.

-Le virus lance un compteur de 5 minutes avant que le pc ne se redémarre automatiquement avec comme message à l'écran : "Dans 5 minutes tu n'as plus de PC fils de viol, le 18-25 t'a bien baiser le cul :)" (La faute d' orthographe à "baisé" n' est pas une erreur de ma part, le virus contient cette faute.)

-Un grand nombre de messages box apparaissent à l'écran, titrées "L'Élite de la Nation" et contenant comme message : "LE 18-25 T'A BIEN BAISER LE FION PUTAIN DE GROS FILS DE PUTE". (La faute d' orthographe à "baisé" n' est pas une erreur de ma part, le virus contient cette faute.)

-Le virus lance un très grand nombre de pages dans le navigateur, montrant une image pornographique notoire ou l' on y voit un homme avec un cactus enfoncé dans l'anus. L' image est connue sous le nom de screamer cactus.

-Le virus supprime petit à petit de tous les fichiers du disque dur C:\ (À condition que la victime aie directiment accordé les droits d'administrateur et non par le popup, si ce n'est pas le cas celui ci ne supprimera que les fichiers de l'utilisateur.)

-Une fois l'ordinateur redémarré, le jeu vidéo snake se lance à la place du système d'exploitation si ces conditions sont respectés

-La victime possède un MBR et non un GPT -La victime a exécuté Twitch Booster en tant qu'administrateur ou a accordé les privilèges d'administrateur au popup.

Vu que le virus a un code extrêmement simple, de nombreuses variantes ont été créés par d'autres personnes que Jewstice. Ces versions sont majoritairement de mauvaise qualité et leur fonctionnement est très différents du virus original, la plupart de ces versions sont innofensives. De très nombreux tutoriels sont disponibles sur YouTube pour que vous puissiez créer votre propre variante éco +. Depuis plusieurs années, la version originale de Twitch Booster, n'existe plus sur internet, TOUS les liens de téléchargement ont étés supprimés.

EDIT: NON ! Il existe bel et bien un lien de téléchargement pour l'original qui est caché dans une vidéo pour réparer son pc après l'exécution de twitch booster [ce n'est pas le tutoriel présenté ci dessous] que je possède mais que je ne compte en aucuns cas donner pour éviter plus de problèmes avec la justice.

C'est ce qui a contribué à la popularité de ces versions "non-officielles".

Informations Complémentaires

Si votre PC est infecté par Twitch Booster, vous pouvez le réparer en suivantce tutoriel.

Les Raids Twitch visant à pirater les ordinateurs des streamers ont cessé depuis 2017, cependant, le virus restera une icône de JVC, longtemps après son utilisation, ci bien qu' encore aujourd'hui, certains membres du 18-25 veulent le télécharger pour le tester sur une VM ou pour troller des streamers débutants.

Il est également important de rappeler que le piratage d'un ordinateur est un délit punit par la loi. Cet article a été écrit à but informatif, je ne vous encourage en auccun cas à utiliser Twitch Booster sur un autre réseau que le vôtre.

Voicil' analyse VirusTotal du Twitch Booster original. C' est grâce à cette analyse que l' on comprend le fonctionnement du virus.

+ d' infos sur le Virus Risitas :

- https://malwiki.org/index.php?title=Twitch_Booster

- https://www.malekal.com/18-25-hack-elite-nation-trojan-kikoolol/

- https://forums.commentcamarche.net/forum/affich-34643425-stream-helpers-ce-logiciel-est-sans-risque-ou-pas