Twitch Booster

Effets du virus incluant le screamer cactus (flouté ici)

Twitch Booster (parfois appelé virus Risitas ou virus du 18-25) et par la suite nommé Stream Helper est un virus créé en Juillet 2016 par des membres du forum 18-25 ans afin de raid des streameurs.

Il est surtout utilisé entre 2016 et 2017 par des raideurs se réunissant sur Discord et trompant des streameurs en leur faisant croire que le logiciel les aiderait à développer leur chaîne Twitch ou Youtube. Une fois ouvert le virus déclenche un ensemble d'effets visuels et sonores moqueurs, puis rend l'ordinateur de la victime inutilisable (à moins de réaliser des manipulations complexes dans les fichiers sources de Windows.)

Les vidéos de streameurs se faisant infecter sont devenues célèbres, et la diffusion du virus a contribué à la réputation du forum 18-25 considéré comme le temple du trolling français.

La paternité de la première version du virus est incertaine, il a été créé par Sneus ou Jewstice selon les témoins.

Twitch Booster refait surface mi-2022 lorsque Jewstice reprend les raids et provoque l'affaire Twitch Booster de 2022 qui indigna le forum.

Contrairement aux idées reçues, Twitch Booster ne détruit pas physiquement le PC de la victime mais remplace le MBR empêchant le démarrage de Windows. Pour y remédier il faut se rendre dans le bios du PC, formater le disque dur et réinstaller Windows. Le virus détruit tous les fichiers au demeurant.

Mode opératoire

Archive de Twitch Booster sur un des raids qui a eu lieu en 2016, vidéo disponible ici

Les raids étaient opérés depuis un serveur Discord (Twitch Game créé par Jewstice, Risiraid par Sneus, ou Team Exood) et les membres rejoignaient un salon vocal afin de pouvoir communiquer. Ils se rendaient ensuite massivement sur le live d'un streamer débutant et avec peu de spectateurs. Afin de lui faire installer le virus, ils commençaient par signaler des dysfonctionnements sur le live (bugs, freezes et lags). Pour y remédier, les forumeurs proposaient au streamer d'installer un logiciel qui allait régler tous les problèmes.

Le virus était promu dans une fausse vidéo tutoriel réalisée par l'un des raideurs afin de mettre en confiance la victime si elle venait à chercher sur internet le nom du virus. Une fois téléchargé, l'antivirus détectait Twitch Booster comme étant malveillant. Cependant le 18-25 insistait en expliquant qu'il s'agissait d'un faux positif. Le streamer lançait ensuite le virus sur son PC provoquant l'hilarité des raideurs qui enregistraient la réaction du streameur (désespoir ou colère selon les cas).

Par la suite le raid sera partagé sur Youtube où les vidéos de victime du virus sont légion.

Amélioration du virus

Raid après raid, le virus gagna rapidement en popularité, et le logiciel Twitch Booster commença à être connu comme étant dangereux. Sneus prit alors en charge un rebranding du virus afin de ne pas éveiller les soupçons en le renommant Twitch+ et StreamHelpersSetup et en créant un site web à l'aspect professionnel afin de promouvoir le virus. Il inclut également dans le code d'avantage d'effets et une fenêtre d'installateur. Gin réalise une vidéo de qualité dans le même but.

Effets du virus

Effets du virus

Twitch Booster ressemble beaucoup plus à n'importe quel jokeware/scareware qu'autre chose, on peut facilement le démontrer vu qu'il a été entièrement codé en Batch et en VBScript. Il s'agit en réalité de plusieurs fichiers qui ont été rassemblés dans un exécutable avec l'outil iExpress de Microsoft.

Le virus est extrêmement perturbateur et destructeur, après avoir été exécuté il enchaîne les payloads visuels pour informer la victime qu'elle vient de perdre le contrôle de son ordinateur. Des dizaines de fenêtres s'ouvrent en cascade contenant un message insultant, une voix récite un texte moqueur, des effets de melting s'ajoutent à la musique de Issou Night Club.

Ordre des payloads

Dés son lancement, le virus va demander des droits administrateur. Si ils sont accordés, le virus va remplacer le MBR de l'ordinateur par un jeu Snake récupéré sur le forum OSDev.org ce qui rend l'extinction de l'ordinateur fatale, vu qu'au prochain redémarrage, le jeu snake va se lancer à la place du système d'exploitation.

• Faux messages d'installation.
• 60 secondes d'attente.
• Les clics de la souris sont inversés.
• Une voix venant du synthétiseur vocal de Microsoft prononce cette phrase :

Coucou, je suis juste la petite voix qui te dit que le 18 25 vient de détruire ton PC et ce à tout jamais. Amuse toi bien a le réparer fils de viol, très content. Dedi aux kheys du 18 25.

• Si ils sont ouverts, le virus ferme les programmes suivants afin que la victime puisse avoir une parfaite vue du désastre sur son ordinateur : Google Chrome, Mozilla Firefox, Microsoft Edge, Internet Explorer, Garry's Mod, Minecraft. Le virus ferme également explorer.exe (cela a pour effet de désactiver le bureau) le menu démarrer, la barre des taches et l'accès aux fichiers personnels.
• Le virus change le fond d'écran par l'image célèbre de Risitas tenant une pancarte en carton sur laquelle est inscrite une dédicace au 18-25 (provenant de cette vidéo.)
• Le virus joue la musique Issou Night Club de Remi Flip, cette musique est un remix de Five Hours de Deorro.
• 

  Effet melting du virus.
  Un effet melting s'ajoute au fond d'écran.
• La trappe du lecteur CD s'ouvre en boucle, sans se refermer.
• Les différentes LEDS du clavier clignotent, pour se faire un script VBS fera appel à la fonction "sendkeys" toute les 100 milisecondes.
• Le virus lance un compteur de 5 minutes avant que le pc ne redémarre automatiquement avec comme message à l'écran :

Dans 5 minutes tu n'as plus de PC fils de viol, le 18-25 t'a bien baiser le cul :)

• Un grand nombre de messages box apparaissent à l'écran, titrées L'Élite de la Nation et contenant comme message :

LE 18-25 T'A BIEN BAISER LE FION PUTAIN DE GROS FILS DE PUTE

• Ouverture d'un très grand nombre de pages dans le navigateur contenant le Screamer Cactus, lui aussi créé par le forum en 2012.
• Suppression de tous les fichiers du disque dur C:

Une fois l'ordinateur redémarré, le jeu vidéo snake se lance à la place du système d'exploitation (si le virus a été lancé en tant qu'administrateur. ) Contrairement à certaines rumeurs, marquer un certain score ne permet pas de regagner son ordinateur, pour cela il va falloir une toute nouvelle installation de Windows 10/11.

Variantes du virus

De nombreuses variantes ont été créés par d'autres forumeurs. Suite au partage du code source, de très nombreux tutoriels sont disponibles sur YouTube pour créer sa propre variante. Depuis plusieurs années, l'original de Twitch Booster est devenu quasiment introuvable sur le net dû à la suppression de tout les liens de téléchargements qui étaient anciennement disponible. Et c'est bien entendu, ce qui a contribué au succès de ces versions "non-officielles" dont notamment la variante dite "BACK".

Postérité

Les raids Twitch visant à pirater les ordinateurs des streamers ont grandement diminué depuis 2017. Cependant le virus restera une icône de JVC longtemps après son utilisation, si bien qu'encore aujourd'hui certains membres du 18-25 veulent le télécharger pour le tester sur une machine virtuelle ou pour troller des streameurs débutants.

Il est également important de rappeler que le piratage d'un ordinateur est un délit punit par la loi. Cet article a été écrit à but informatif, nous ne vous encourageons en aucun cas à utiliser Twitch Booster ou autre logiciel malveillant sur un autre réseau que le vôtre.

Affaire Twitch Booster de 2022

Jewstice reprendra activement les raids en 2022 mais d'une manière beaucoup plus condamnable en ciblant de jeunes enfants et en les faisant chanter. Cela mènera au raid de trop qui indignera le forum.

Liens externes

• L'analyse VirusTotal de Twitch Booster.
• Page sur Malwiki.com
• Description sur Malekal.com
• Vidéo de présentation du virus sous le nom de Stream Helpers
• Vidéo de Rhéo, le premier streameur a avoir été infecté par le virus en 2016