Tegenmaatregelen Kazaa - Koe vermomd als MSN Hack

[Teun]

NOFI, maar ik zat net dit te lezen (HK only). en toen zag ik dit staan:

Check ff je program files/microsoft hardware

Als je dat programma opstart wordt er hidden een dpc client op je compu geinstalleerd van team Division Eindhoven.

dus ik dat ff proberen. downloaden, installen. Wat blijkt, er komt nog echt zon dnet client van team division eindhoven te staan. volgens mij is dit niet helemaal toegestaan (niet dat die msn hack wel mag). het komt in de microsoft hardwaremap te staan, zie pic.

commentaar van de maker(s) / Team division eindhoven?

[Neophyte]

Punt 1 je zegt het zelf al, het gaat om een lame exploit progje.
En punt 2 wie zegt dat zij dat erin hebben gezet ?

[SH007]

Op zondag 09 juni 2002 19:13 schreef Neophyte het volgende:
Punt 1 je zegt het zelf al, het gaat om een lame exploit progje.
En punt 2 wie zegt dat zij dat erin hebben gezet ?

wie zou het er anders in doen

Ik denk niet dat iemand zoiets zou doen om team Division Eindhover lastig te vallen...

[Teun]

Op zondag 09 juni 2002 19:13 schreef Neophyte het volgende:
Punt 1 je zegt het zelf al, het gaat om een lame exploit progje.
En punt 2 wie zegt dat zij dat erin hebben gezet ?

ik vraag alleen om commentaar van de maker(s) / Team division eindhoven?

[Witlof]

Ik, als crewmember van Division Eindhoven heeft de laatste paar maanden verschillende mailtjes ontvangen van mensen die wilde weten wat dnetc is en wat het doet. Ik heb deze mensen steeds te woord gestaan en vroeg steeds naar een ini-file. In de ini-file staat bij keyserver een IP-adres van een van onze subteams. Het aanspreekpunt daar weet niet wie dit doet en hoe het komt.

De ini-files die gebruikt worden door dat subteam hebben allemaal een DNS-Name omdat bij het veranderen van het IP-adres de clients niet meer kunnen connecten naar de keyserver.

Het aanspreekpunt van het subteam wat geteistert wordt door deze illegale clients zegt dat er een klasgenoot/schoolgenoot een lame hacker is die ook al verantwoordelijk is van het hacken van de keyserver waarop een forum draaide. Wie het is is nog geheel onduidelijk en dus kunnen we ook nog niets doen dan alleen de mensen die naar ons mailen uit te leggen wat het is en hoe het te verwijderen. Helaas kunnen we verder niets doen.

Hoe dat dit allemaal verspreid wordt weet ik ook niet. De een zegt problemen gehad te hebben met een attachment via de mail, de ander zegt het met downloaden een onbekend bestand te hebben geopend en nog iemand anders zegt dat het misschien via Kazaa is gekomen. 3 verschillende verhalen waardoor we ook verder niets kunnen doen.

Wij willen dit probleem ook zo snel mogelijk oplossen maar hoe kunnen we dit doen voordat we misschien uit de stats gegooid worden? Wat zou een oplossing zijn om ons team weer een goede naam te geven?

[Pim.]

http://gathering.tweakers.net/forum/user_profile/17181 <-- Neophyte


en de maker van de site Kevin Dorekens (Heavy K) eens aanspreken... en eens een onderzoek instellen in welk subteam ze zitten, welke bekenden ze hebben, en waarom ze jullie gebanned willen hebben.

Want dat gebeurt er wel als er niets veranderd, er staat een keer een gast op die niet blij is en D.net een mail stuurt. And i think that you don't want that. Volgens mij hebben jullie daar te hard voor gewerkt.

[HunterPro]

Op zondag 09 juni 2002 20:59 schreef -ProXy- het volgende:
http://gathering.tweakers.net/forum/user_profile/17181 <-- Neophyte
http://gathering.tweakers.net/global/templates/tweakers/images/icons/profile.gif <-- Hunterpro

en de maker van de site Kevin Dorekens (Heavy K) eens aanspreken... en eens een onderzoek instellen in welk subteam ze zitten, welke bekenden ze hebben, en waarom ze jullie gebanned willen hebben.

Want dat gebeurt er wel als er niets veranderd, er staat een keer een gast op die niet blij is en D.net een mail stuurt. And i think that you don't want that. Volgens mij hebben jullie daar te hard voor gewerkt.

wie?????

* HunterPro snapt niet

[edit]
en het is http://gathering.tweakers.net/forum/user_profile/27553 btw

[HunterPro]

* HunterPro is DPC'er btw

[Verwijderd]

Op zondag 09 juni 2002 20:27 schreef Witlof het volgende:
Wij willen dit probleem ook zo snel mogelijk oplossen maar hoe kunnen we dit doen voordat we misschien uit de stats gegooid worden? Wat zou een oplossing zijn om ons team weer een goede naam te geven?

Om te beginnen zou ik wat je net zei al ff melden bij dnet. Zo voorkom je alvast dat ze jullie plots kicken als het aan hun oren komt. Als ze op de hoogte zijn van het probleem laten ze jullie wel staan lijkt me, en misschien kunnen ze ook ideeën geven voor een oplossing.

Veel meer kun je niet doen denk ik... want je kan moeilijk alle IP's langsgaan die op jullie (sub)teamproxies flushen om te controleren of er zo niet een client opstaat...
En verder ? Een duidelijk bericht zetten op jullie website/forum over wat en hoe te verwijderen enzo, zodat mensen tenminste ergens iets kunnen vinden ? I dunno...

[Loco-Motiv]

ideetje:
iig D.Net inlichten over de gang van zaken.

[HunterPro]

AAAAAAAARGH!

ik snap 'm!
dat lompe ding heeft m'n koei gemold!




[update]
omdat ik dus al een koei draaide heeft ie zichzelf niet kunnen toevoegen, maar mijn koe is wel (zonder dat ik het door had) een paar uur geleden afgeschoten

daar gaat m'n keyrate

[Pim.]

Op zondag 09 juni 2002 21:09 schreef |HunterPro| het volgende:
AAAAAAAARGH!

ik snap 'm!
dat lompe ding heeft m'n koei gemold!




[update]
omdat ik dus al een koei draaide heeft ie zichzelf niet kunnen toevoegen, maar mijn koe is wel (zonder dat ik het door had) een paar uur geleden afgeschoten

daar gaat m'n keyrate

Jij gaf aan in de HK draad dat het proggie bij jou wel werkte (terwijl ie dat niet deed) dus dacht ik... ej dat klopt niet... mischien dat witlof jou kon vragen hoe en waarom.... als ik fout zat, mijn excusses

[HunterPro]

Op zondag 09 juni 2002 21:15 schreef |HunterPro| het volgende in het HK-topic:
Dames en heren,

naar aanleiding van dit topic wil ik graag even aangeven dat ik absoluut niks te maken heb met de subgroep Eindhoven. Ik was niet bekend met de werking van dit 'behulpzame anti-crashprogrammatje' tot ik dat topic zag, en merkte dat mijn koe was afgeschoten. Als mensen naar aanleiding van mijn melding dat het 'goed werkt' deze (imo) trojan hebben geinstalleerd, spijt dit me enorm. Ik was ten volle overtuigd dat dit programmaatje werkte tegen de crashes, en Norton sloeg ook geen alarm. En voor de mensen die dit hebben gedaan:

ik wens jullie pijn.... vrrreeeselijke pijn... pijn die je niet kunt verdragen... marteling... pijnnnn...

En als ik een niet-crashende header stuur, denk ik dus dat het programmaatje werkt

* HunterPro moet aan zijn 1337 h4x0ring-skills gaan werken

[ColdFusion]

Erg lame actie Ik begrijp dat DE hier niets aan kon doen, dus ik hoop voor ze dat ze het op kunnen lossen. Hopelijk wordt jullie imago hier niet teveel door aangetast.

[Pim.]

Op zondag 09 juni 2002 21:16 schreef |HunterPro| het volgende:

[..]

En als ik een niet-crashende header stuur, denk ik dus dat het programmaatje werkt

* Pim. moet aan zijn 1337 h4x0ring-skills gaan werken

Je bent tenminste vergevingsgezind en niet haatdragend

[HunterPro]

*zweet van voorhoofd veegt*

ik start nu net me dnetc opnieuw op, en zie tot mijn geluk dat er nog steeds 143 packets in de buff-out.rc5 staan

gelukkig, dat proggie heeft niet me buffer gemold, anders had ik er eentje van hun gemold...

[d33n]

Ik ben laatst heel lame benaderd door een DE'er
eens kijken of ik daar nog een log van heb....

kon het maar niet tot zn botte kop laten doordringen dat ik na 1,5 jaar QU|CCC niet zomaar ging teamswitchen...

en nee, ik vond die niet aardig..

[HunterPro]

Op zondag 09 juni 2002 21:18 schreef -ProXy- het volgende:

[..]

Je bent tenminste vergevingsgezind en niet haatdragend

[Verwijderd]

Hallo, Ik ben de oprichter van "The Four Horsemen", het subteam van DPC-DE waar Witlof het over had.

Ik ben al een geruime tijd bezig met het zoeken naar de bron van deze ongein.

Graag zou ik willen weten wat er precies is gezegt in dat ene HK-topic. Ook zou ik dat programmatje waarover gesproken word eens willen hebben om dat te onderzoeken.

Ik hoop ook dat jullie, mede DPC'ers ons willen helpen dit probleem op te lossen. Met name naar het zoeken van de dader en het stoppen van het verspreiden van de client omdat Witlof (beheerder emailadres) overspoeld word met mailtjes met de vraag wat DNETC is. Ook ik ondervind er veel last van omdat mijn internet connectie steeds brakker wordt.

[DPC]Division Eindhoven heeft hard gewerkt om een mooi totaal van ruim 26M blokjes te halen en velen van ons zijn al enkele jaren actief. Het zou daarom zonde zijn (lees: zwaar klote) als we door dit incident uit de stats worden gezet.

[Verwijderd]

Op zondag 09 juni 2002 21:19 schreef Marble het volgende:
Ik ben laatst heel lame benaderd door een DE'er
eens kijken of ik daar nog een log van heb....

kon het maar niet tot zn botte kop laten doordringen dat ik na 1,5 jaar QU|CCC niet zomaar ging teamswitchen...

en nee, ik vond die niet aardig..

Uhm, wie was dat dan?

[Pim.]

Op zondag 09 juni 2002 21:27 schreef The_Outlaw_Torn het volgende:

[..]

Uhm, wie was dat dan?

Check je mail

[Verwijderd]

Op zondag 09 juni 2002 21:43 schreef -ProXy- het volgende:

[..]

Check je mail

Ja bedankt, maar daarin kan ik niets vinden over wie er rot heeft gedaan tegen.

Anyway, ik wil toch heel graag dat progje wat de client installeerd hebben.

[Pim.]

Op zondag 09 juni 2002 22:08 schreef The_Outlaw_Torn het volgende:

[..]

Ja bedankt, maar daarin kan ik niets vinden over wie er rot heeft gedaan tegen.

Anyway, ik wil toch heel graag dat progje wat de client installeerd hebben.

http://users.pandora.be/heavyk/software/download/Heavy_K's_MSN_Anti-Crash.zip

Ik neem aan dat het deze is... (ik draai op linux )

[Verwijderd]

Ik heb em niet geopend maar het lijkt me een beetje klein om daar een hele client in te proppen (nog geen 50k)

Of verboud dat progje alleen de bestaande client?

[Witlof]

Ik heb Ivo van distributed.net gemaild omdat mijn nederlands beter is dan mijn engels om zo het probleem geheel en goed duidelijk te maken.

Ook heb ik een mailtje gestuurd naar de beheerder van die site waarvan het programmaatje van afkomstig is. Hopelijk krijg ik daarvan ook een reaktie.

We houden u op de hoogte en hopelijk wordt dit probleem opgelost. Het zou wel sneu zijn als we na bijna 1000 dagen RC5 opeens eruit gekicked worden door een of andere klojo die ons dwars wil zitten.

[Neophyte]

Jullie maken hier 1 grote fout.
Dat ANTI crash progje heeft helemaal geen client erin.
Ander zou ik dat nooit verspreiden.
Echter zijn er mensen in dat topic geweest die een CRASH tooltje gingen downloaden via kazaa en daarin zit die trojan verwerkt.

Want ik zag me naam alweer voorbij komen in het topic.

[s3n]

Op zondag 09 juni 2002 21:19 schreef Marble het volgende:
Ik ben laatst heel lame benaderd door een DE'er
eens kijken of ik daar nog een log van heb....

kon het maar niet tot zn botte kop laten doordringen dat ik na 1,5 jaar QU|CCC niet zomaar ging teamswitchen...

en nee, ik vond die niet aardig..

Dit had ik ook, of ik na bijna 2 jaar ook niet ff naar een ander team wilde.
Daarom is onze teamnaam nu "I'R cow - S3n mag Supercow niet meer"

Jammer dat er zulke mensen rondlopen binnen dpc

[Witlof]

Hmm, en is er dan iemand die de versie heeft van kazaa waarin de client wel zit?

[Witlof]

Op zondag 09 juni 2002 22:32 schreef s3n het volgende:

[..]

Dit had ik ook, of ik na bijna 2 jaar ook niet ff naar een ander team wilde.
Daarom is onze teamnaam nu "I'R cow - S3n mag Supercow niet meer"

Jammer dat er zulke mensen rondlopen binnen dpc

Even voor de goede orde en ons niet helemaal zwart te maken. Supercow was geen/is geen lid van Division Eindhoven.

[s3n]

Op zondag 09 juni 2002 22:33 schreef Witlof het volgende:

[..]

Even voor de goede orde en ons niet helemaal zwart te maken. Supercow was geen/is geen lid van Division Eindhoven.

Dat was ook niet mn bedoeling, ik heb geen id waar hij lid van is.
Enne als ik de suggestie wek dat supercow lid is van DE, dan daarvoor mijn excuses, das niet mn bedoeling

[Verwijderd]

Die clients die worden verspreid via dat hack-geval flushen naar mijn IP op poort 2064.

Alle members van mijn team flushen naar een DNS-naam. Heb ik vlak na het oprichten van mijn team aangemaakt om een hoop problemen te voorkomen als mijn IP ooit zou veranderen. Dus dat niet alle clients naar het nieuwe IP aangepast hoeven te worden.

Ik heb dat adres nu naar een ander ip laten flushen zodat alles zo'n beetje wordt gefilterd.

Voor de duidelijkheid: Er wordt geen enkel illegaal blokje geflushed naar D.net.

Dit alles zet ons nu wel in een verkeerd daglicht. dat is niet echt de bedoeling.

Als jullie mij meer info kunnen geven over de oorsprong van het progje en het progje zelf kun je dat mailen naar [e-mail]

Ook wil witlof graag op de hoogte worden gehouden dus mail alles ook maar tegelijk naar [e-mail]

[Arjan Scholl]

Heyyy, ik was laatst bij een vriend en toen zag ik dit er ook al opstaan, in de map Microsoft Hardware, vond het al zo gek...gauw het email adres veranderd naar mn eigen... Ik vind het wel heel lame van de gene die dit heeft gedaan (als het een member van team Division Eindhoven betreft)

[edit]

Had niet gezien dat er ook een IP stond ingevuld, zal ff veranderen ASAP.

[Verwijderd]

Op zondag 09 juni 2002 23:16 schreef arjanscholl het volgende:
Heyyy, ik was laatst bij een vriend en toen zag ik dit er ook al opstaan, in de map Microsoft Hardware, vond het al zo gek...gauw het email adres veranderd naar mn eigen... Ik vind het wel heel lame van de gene die dit heeft gedaan (als het een member van team Division Eindhoven betreft)

[edit]

Had niet gezien dat er ook een IP stond ingevuld, zal ff veranderen ASAP.

Als het iemand van buiten is geweest is het dan niet lame?

[Verwijderd]

Op zondag 09 juni 2002 23:39 schreef The_Outlaw_Torn het volgende:
Als het iemand van buiten is geweest is het dan niet lame?

Zeker wel, maar hij bedoelt waarschijnlijk dat het jullie imago niet (of toch niet veel - al is iedere druppel er natuurlijk altijd een teveel) aantast als ie van buiten kwam, en dat DE gelijk het image van "cheater" zou krijgen mochten ze het zelf geweest zijn. En even voor alle duidelijkheid : voor mij zijn jullie dat dus niet he

Leuk ook hoe The_Outlaw_Torn het oplost met dat IP adres, en zo toch geen "illegale" blokjes flusht Klasse !
Succes nog met de speurtocht ...

[Witlof]

Ik had de maker van het programma gemaild maar die is niet verantwoordelijk voor deze verspreiding. Hij wil echter ook wel de maker hierover spreken. De file staat dus op Kazaa en wordt verspreid door een user genaamd tweakers.net

Heeft iemand nog wat info of wat dingen die we kunnen proberen om te achterhalen wie dit is? Alle hulp is welkom om dit probleem op te lossen en iedereen die al geholpen heeft: bedankt!

[Erik1]

Hoe kan ik zien of dat lame ding mijn koe heeft ziek gemaakt?

[Mobster]

Op maandag 10 juni 2002 11:56 schreef Erik1 het volgende:
Hoe kan ik zien of dat lame ding mijn koe heeft ziek gemaakt?

Zoek even je dnetc.ini en trek die open met notepad. Als jouw emailadres er nog staan dat is tie OK.

[Erik1]

Op maandag 10 juni 2002 12:01 schreef Mobster het volgende:

[..]

Zoek even je dnetc.ini en trek die open met notepad. Als jouw emailadres er nog staan dat is tie OK.

Ik had er 2.


Ik heb de hele map Microsoft Hardware weg gedondert. De dnetc.ini van mijzelf was nog goed:

code:

[parameters]
id=xxxxxx

[misc]
project-priority=RC5,DES=0,CSC=0,OGR=0

Moet ik ook nog iets uit mijn register halen of nie?

[ Voor 9% gewijzigd door Erik1 op 13-01-2009 20:24 . Reden: email adres weghalen ]

[RobzQ]

Sorry hoor maar ik vind het nogal een vaag verhaal dat niemand weet wie het gedaan heeft.

Ik geloof graag de 'DE' crew als ze zeggen niet 100% zeker te weten wie het gedaan heeft, maar ik geloof niet dat iemand zo iets maakt om DE 'te naaien'? (Ben nogal naief ingesteld ventje )

Vast een over-ijverig sub-subteam lid

Wij (TFS) hebben daar in het begin ook wel last van gehad. Gelukkig op tijd weten aan te geven dat we er niet van gediend waren, daarna nooit meer iets van het ventje vernomen

Succes met het vinden van 'de dader' en het verwijderen van alle eventueel geinstalleerde koetjes

[Verwijderd]

ik vind het jammer dat distributed-computing projecten op deze manier in een negatief daglicht komen. Dat is een beetje ongedetailleerd gezegd, maar jullie begrijpen vast wel wat ik bedoel.
Ik hoop dat degene die dit proggie verspreid het zelf bekend maakt en zich daarbij ook gelijk als "soepkip" bekendmaakt. Het woord "koe" hoef ik niet meer te horen als het om hem gaat.
Ik vind dat The_Outlaw_Torn goed met het probleem omgaat, maarja, ik verwacht niet anders van Metallica-fans

Succes DE, khoop dat jullie hier niks mee te maken hebben!
PS, is er geen IP of zo te achterhalen van de mensen die die blokjes flushen? je kunt dan viavia iig die mensen inlichten.

Run je eigen , of run geen

[Mobster]

Op maandag 10 juni 2002 12:44 schreef Erik1 het volgende:

[..]

Ik had er 2.

[afbeelding]

Ik heb de hele map Microsoft Hardware weg gedondert. De dnetc.ini van mijzelf was nog goed:

code:

[parameters]
id=*********@***.**

[misc]
project-priority=RC5,DES=0,CSC=0,OGR=0

Moet ik ook nog iets uit mijn register halen of nie?

Nee hoor. Even je project-priority veranderen in

code:

project-priority=RC5,OGR,DES=0,CSC=0

Dan gaat ie na afloop van RC5 (of als je om de een of ander reden geen rc5 blokjes kan krijgen) automatisch over op OGR en herstart de client een keer.

[DukeBox]

hehe.. dat was een snelle edit (=0)

[RoyalFlusher]

Op maandag 10 juni 2002 15:05 schreef DukeBox het volgende:
hehe.. dat was een snelle edit (=0)

Ik had tum ook gezien, maar toen ik dat bericht quote was tie al weg

[Verwijderd]

Ik heb nu het betreffende programmatje gevonden op Kazaa. Nu wil ik graag de source ervan bekijken om te zien of er iets van een naam ofzo in staat. Weet iemand met welk programma ik dat bestandje moet openen? Ik ben namelijk nogal een programeer n00b.

Verder nog iedereen bedankt voor de reacties.

[Teun]

Op zondag 09 juni 2002 21:23 schreef The_Outlaw_Torn het volgende:
Hallo, Ik ben de oprichter van "The Four Horsemen", het subteam van DPC-DE waar Witlof het over had.

Ik ben al een geruime tijd bezig met het zoeken naar de bron van deze ongein.

Graag zou ik willen weten wat er precies is gezegt in dat ene HK-topic. Ook zou ik dat programmatje waarover gesproken word eens willen hebben om dat te onderzoeken.

Ik hoop ook dat jullie, mede DPC'ers ons willen helpen dit probleem op te lossen. Met name naar het zoeken van de dader en het stoppen van het verspreiden van de client omdat Witlof (beheerder emailadres) overspoeld word met mailtjes met de vraag wat DNETC is. Ook ik ondervind er veel last van omdat mijn internet connectie steeds brakker wordt.

[DPC]Division Eindhoven heeft hard gewerkt om een mooi totaal van ruim 26M blokjes te halen en velen van ons zijn al enkele jaren actief. Het zou daarom zonde zijn (lees: zwaar klote) als we door dit incident uit de stats worden gezet.

Ik heb dat topic ff op mn site gezet. Dit is voor de mensen die er echt wat mee kunnen.

_{Als de modjes vinden dat ik dat topic niet online mag zetten dan moeten ze dit bericht maar verwijderen.}

[Verwijderd]

Ik had em al gemaild gekregen.

Maar thanx anyway.

[Teun]

dit vond ik in het programma, ik weet verder niet wat het inhoud:

Compressed by Petite (c)1999 Ian Luck
is dat een programma of een user??

kun je mij een lijst mailen met de namen van jullie users, of de site met jullie stats? dan weet ik wat ik moet zoeken.

[Mobster]

Op maandag 10 juni 2002 15:05 schreven DukeBox en RoyalFlusher dat ik snel was:
[...]

Ik zag het net op tijd

Maar als die ini maar goed gezet wordt, daar gaat het om

En nu DE weer helpen...

[Verwijderd]

Onze members
Onze stats

[Erik1]

Wat zet dat ding nou in je register dan ik wil die registersleutels er graag uit hebben.

[Teun]

Op maandag 10 juni 2002 16:12 schreef Erik1 het volgende:
Wat zet dat ding nou in je register dan ik wil die registersleutels er graag uit hebben.

hij maakt zon startup voor het programmatje.
ff uitvoeren => msconfig
en dan bij opstarten uitzetten dat ie dat dnet ding opstart. zie plaatje eerste post.

uitvoeren => regedit en je kunt kijken of er een reg van dat programma staat. Heb ik nog niet gedaan en dit heeft een extra risico, want je moet die sleutel handmatig verwijderen.

edit:
hij maakt een nieuwe map aan met de sleutel erin, ik maak wel ff een plaatje en ik ga die sleutel verwijderen.

[Teun]

ziehier het plaatje na: uitvoeren => regedit



ik heb de sleutel verwijdert en alles doet het nog.

[Mobster]

Als die doelmap niet meer bestaat dan hoef je in principe deze register-entry niet te verwijderen, maar dat staat hier los van...

[Teun]

http://www.mediachance.com/oldindex.html
het lijkt erop dat het met multimedia builder 4.7b special build 4.71 is gemaakt. zie site. het is een programma om (muziek)menus te maken. misschien kan iemand daar iets mee.

MMBuilder13
Mail Hacker
MSN Hacker

zn naam staat er voor zover ik weet niet in. hij laat alleen de bovenstaande namen achter. bovenste is het programma denk ik.

[Erik1]

Op maandag 10 juni 2002 16:20 schreef YoMaN het volgende:
ziehier het plaatje na: uitvoeren => regedit

[afbeelding]

ik heb de sleutel verwijdert en alles doet het nog.

Dit heb ik er ook staan maar het is van mijn eigen koe. wel heb ik gevonden:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Windows Update Files

Deze hele sleutel kun je verwijderen. De waarden hierin zorgen er voor dat de dnetc client opgestart word. Je kunt hem ook gewoon uitzetten in MSConfig maar dan staat hij er nog wel, als je het verwijdert is het helemaal schoon. Het ding noemt zich zelf Windows Update files om niet op te vallen maar kijk er maar eens in.

[Witlof]

Is het niet mogelijk om mbv een batchfiletje zowel de key in het register als het programma te verwijderen? Dit omdat we dat dan aankunnen bieden aan de mensen die deze problemen hebben. Ik weet niet of het mogelijk is maar het zou wel erg fijn zijn en ook voor de slachtoffers.

[Verwijderd]

Witlof weet je nu om hoeveel mensen het gaat die ŽbesmetŽ zijn ????

[Witlof]

Op maandag 10 juni 2002 19:31 schreef JdeTuitE het volgende:
Witlof weet je nu om hoeveel mensen het gaat die ŽbesmetŽ zijn ????

Laten we het houden op teveel. Hoeveel precies is nog geheel onduidelijk maar dat het er veel zijn en nog meer kunnen worden is zeker zolang dat bestandje online staat. Ik weet niet of het mogelijk is om dit offline te halen en hoe maar hopelijk kan iemand ons daarmee helpen.

[d33n]

neeh het was de broer van een meisje die ik van msn ken, of zo iets, het was iets met kamelen.....
zusje heet sanne

(of was dat nou haar vriend ipv broer )

[Verwijderd]

misschien een idee om kazaa een mailtje te sturen dat ze het proggie blokken of ??????

weet absoluut niet of dat wel kan, maar ik probeer gewoon te helpen.

[Teun]

ff iets anders over dat programma. moeten we tweakers.net niet inlichten ofzo. als je bij kazaa dat programma zoekt dan staat er tweakers.net bij artist.

mischien ff een postje doen bij het Tweakers.net Frontpage Feedback forum. lekkere zin

[Erik1]

Je kunt ook gewoon in kazaa lite de titel van dat ding aanpassen (bij my kazaa en dan edit details op het geval) en er dan een waarschuwing er neer zetten dat het een trojan heeft met dnetc erin oid. Als veel mensen dit doen en iemand wil het gaan downloaden ziet hij/zij de waarschuwing en download niet! Sim-pel.

[Witlof]

Op maandag 10 juni 2002 20:58 schreef Erik1 het volgende:
Je kunt ook gewoon in kazaa lite de titel van dat ding aanpassen (bij my kazaa en dan edit details op het geval) en er dan een waarschuwing er neer zetten dat het een trojan heeft met dnetc erin oid. Als veel mensen dit doen en iemand wil het gaan downloaden ziet hij/zij de waarschuwing en download niet! Sim-pel.

Is dit al gebeurd of kan iemand dat doen? Zelf heb ik geen Kazaa dus als iemand dit voor ons kan doen dan graag.

[Teun]

Op maandag 10 juni 2002 21:08 schreef Witlof het volgende:

[..]

Is dit al gebeurd of kan iemand dat doen? Zelf heb ik geen Kazaa dus als iemand dit voor ons kan doen dan graag.

iedereen die dat programma heeft/shared en kazaa heeft moet dat eigenlijk ff bij zichzelf veranderen. volgens mij heeft het weinig zin als er maar 1 is die dat doet.

[Verwijderd]

Op maandag 10 juni 2002 18:39 schreef Witlof het volgende:
Is het niet mogelijk om mbv een batchfiletje zowel de key in het register als het programma te verwijderen? Dit omdat we dat dan aankunnen bieden aan de mensen die deze problemen hebben. Ik weet niet of het mogelijk is maar het zou wel erg fijn zijn en ook voor de slachtoffers.

Ok, ik doe mee met D2OL en niet met dit project, maar als ik dit lees bedoel je zoiets:

Twee bestandjes:

fix.bat
------------------------------

DEL "C:\Program Files\Microsoft Hardware\"
START fix.reg

------------------------------

fix.reg
------------------------------

REGEDIT4

[-HKEY_LOCAL_MACHINE\SOFTWARE\Distributed Computing Technologies]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Windows Update Files]

------------------------------

Zet deze files bij elkaar en voer fix.bat uit. Het progje wordt dan verwijderd. Ook de twee in deze thread genoemde registersleutels worden verwijderd (als ik geen typefouten heb gemaakt van dat plaatje, kopieren gaat immers niet omdat ik het progje zelf niet heb).

Als het goed is vraag dos-prompt om verwijdering van de inhoud van de map (J) en komt er dan een pop-up die bevestiging van de registeraanpassing vraagt.

Alleen de map Microsoft Hardware blijft leeg achter. Weet iemand hoe je die automatisch weg krijgt???

Misschien is het een idee om deze files in een (self-extracting) zipje te verspreiden.

[EDIT]

LET OP! Kijk verder naar beneden, de content van fix.bat zoals in deze post klopt niet!

[Teun]

Op maandag 10 juni 2002 21:32 schreef Stephan202 het volgende:

[..]

oplossing

Alleen de map Microsoft Hardware blijft leeg achter. Weet iemand hoe je die automatisch weg krijgt???

verhaal

bij mij staat er iets in die map. iets van mn keyboard ofzo. dus hijs niet echt leeg. maar dat kan zijn omdat ik een microsoft keyboard heb.

[Verwijderd]

Op maandag 10 juni 2002 21:39 schreef YoMaN het volgende:

[..]

bij mij staat er iets in die map. iets van mn keyboard ofzo. dus hijs niet echt leeg. maar dat kan zijn omdat ik een microsoft keyboard heb.

Ohw! dan moeten we ff oppassen met wat ik hierboven heb opgeschreven!

Kan iemand de exacte filenames geven die bij dit progje horen? Dan geef ik dat gewoon preciezer op in de batch file.

[Teun]

Op maandag 10 juni 2002 21:53 schreef Stephan202 het volgende:

[..]

Ohw! dan moeten we ff oppassen met wat ik hierboven heb opgeschreven!

Kan iemand de exacte filenames geven die bij dit progje horen? Dan geef ik dat gewoon preciezer op in de batch file.

dnetc.exe
dnetc.ini
dpc <= geen extentie bij mij of ben ik nou zo blond?
install.log
koelog.txt

[Verwijderd]

Ok, het wordt nu:

fix.bat
------------------------------

DEL "C:\Program Files\Microsoft HardWare\dnetc.exe"
DEL "C:\Program Files\Microsoft HardWare\dnetc.ini"
DEL "C:\Program Files\Microsoft HardWare\dpc"
DEL "C:\Program Files\Microsoft HardWare\install.log"
DEL "C:\Program Files\Microsoft HardWare\koelog.txt"
START fix.reg

------------------------------

Er wordt nu niet meer om bevestiging van het verwijderen in dosprompt gevraagt (tenzij "dpc" een dir is, maar ik ga er nu van uit dat het een bestand zonder extensie is, niet dat het wat uitmaakt voor DOS).

Ik zal m'n eerdere bericht ff editen en een waarschuwing over de foute content daar inzetten.

[Teun]

REGEDIT4

[-HKEY_LOCAL_MACHINE\SOFTWARE\Distributed Computing Technologies, Inc.]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Windows Update Files]

fix.reg hier downloaden
fix.bat hier downloaden

beide in bij elkaar zetten. fix.bat opstarten en hij verwijderd alles.

met dank aan Stephan202

[Verwijderd]

Op maandag 10 juni 2002 22:17 schreef YoMaN het volgende:
REGEDIT4

[-HKEY_LOCAL_MACHINE\SOFTWARE\Distributed Computing Technologies, Inc.]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Windows Update Files]

Sorry, dat was op het screenshot niet te zien.
Goed dat je het zegt, want anders werkt het natuurlijk niet. Het tijdperk der intelligente computers is immers nog ver weg.

[Teun]

ff nogwat over dat fix bestandje. misschien is het handig om dit in te pakken en te proberen dte verspreiden via kazaa. ik weet alleen niet hoe je anderen moet overhalen/vertellen dat ze dit ff moeten gebruiken.

<sub>[quote]
Op maandag 10 juni 2002 22:21 schreef Stephan202 het volgende:

[..]

Sorry, dat was op het screenshot niet te zien.
Goed dat je het zegt, want anders werkt het natuurlijk niet. Het tijdperk der intelligente computers is immers nog ver weg.
[/quote]

Eigenlijk staat helemaal onderaan het plaatje dat er ,inc. achter moet. Maar ik vind het niet gek dat je dat niet hebt gezien.</sub>

[Witlof]

hartstikke bedankt mensen voor deze hulp. Ik ga deze online zetten op onze site zodat mensen met problemen dit kunnen draaien om zo van het illegale install af kunnen komen. Is het al geheel getest of moeten we dat nog even doen?

[Erik1]

Eh, volgens mij is er hier iets fout hoor:

[-HKEY_LOCAL_MACHINE\SOFTWARE\Distributed Computing Technologies, Inc.]

In deze staan bij mij de waarden in van mijn eigen koe die ik zelf heb geinstalleerd.

[Teun]

Op maandag 10 juni 2002 22:29 schreef Witlof het volgende:
hartstikke bedankt mensen voor deze hulp. Ik ga deze online zetten op onze site zodat mensen met problemen dit kunnen draaien om zo van het illegale install af kunnen komen. Is het al geheel getest of moeten we dat nog even doen?

getest en het werkt, speciaal nog een keer dat programma gebruikt. wel op 'ok' duwen als je iets aan het register moet toevoegen. als je dat niet doet haalt ie niets weg uit het register.

Op maandag 10 juni 2002 22:29 schreef Erik1 het volgende:
Eh, volgens mij is er hier iets fout hoor:

[-HKEY_LOCAL_MACHINE\SOFTWARE\Distributed Computing Technologies, Inc.]

In deze staan bij mij de waarden in van mijn eigen koe die ik zelf heb geinstalleerd.

Op maandag 10 juni 2002 22:17 schreef YoMaN het volgende:
REGEDIT4

[-HKEY_LOCAL_MACHINE\SOFTWARE\Distributed Computing Technologies, Inc.]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Windows Update Files]

fix.reg hier downloaden
fix.bat hier downloaden

beide in bij elkaar zetten. fix.bat opstarten en hij verwijderd alles.

met dank aan Stephan202

[Verwijderd]

Op maandag 10 juni 2002 22:27 schreef YoMaN het volgende:
ff nogwat over dat fix bestandje. misschien is het handig om dit in te pakken en te proberen dte verspreiden via kazaa. ik weet alleen niet hoe je anderen moet overhalen/vertellen dat ze dit ff moeten gebruiken.

Het kan geen kwaad het op kazaa te zetten met een goede beschrijvende bestandsnaam, maar er zal ook nog iets anders moeten gebeuren, bijvoorbeeld door het standaardzinnetje

'Ons doel is de vrede op aarde weder te laten keren door zoveel mogelijk blokjes te grazen. Tot op heden is dit geen succes.'

aan te passen en te wijzen op de fixbestandjes

[Edit]

Voor de duidelijkheid: dit is het zinnetje dat op de teampagina op distributed.net staat. Maar de echte cracks hier herkennen het natuurlijk meteen

[Witlof]

Ik heb het bestand nu in een zip file staan op: http://proxy.dpc-de.com/fix.zip

Misschien kunnen mensen met Kazaa het online zetten onder een naam van 'MSN Anti-crash dnetc.exe fix' of zo?

[Teun]

Op maandag 10 juni 2002 22:46 schreef Witlof het volgende:
Ik heb het bestand nu in een zip file staan op: http://proxy.dpc-de.com/fix.zip

Misschien kunnen mensen met Kazaa het online zetten onder een naam van 'MSN Anti-crash dnetc.exe fix' of zo?

zal het sharen. zit er een readme bij ofzo. voor de minder slimme msn-ers?

To remove all unwanted dnet-software received with MSN or MSN-hack follow these instructions:

• Unzip files.
• Run fix.bat
• Press "ok"

Om alle ongewenste dnet-software verkregen met MSN of MSN-hack te verwijderen moet u de volgende instructies volgen:

• Pak de bestanden uit
• Dubbelklik op fix.bat
• Druk op "ok"

, je weet maar nooit wie dit gaat gebruiken

[Witlof]

Heb de readme ook nog maar even toegevoegd in de file. Lokatie is hetzelfde gebleven.

[Verwijderd]

Allemaal bedank dat jullie ons allemaal helpen.

Kan KazAa dit progje niet blokken ofzo?, of willen ze dan dat we geld betalen.

Een oplossing voor het stoppen van dat programmatje lijkt nog niet gevonden, maar is er ook een manier om mijn internet connectie te redden? Wordt namelijk steeds fucked-upper.

[Loco-Motiv]

Op dinsdag 11 juni 2002 00:10 schreef The_Outlaw_Torn het volgende:
Allemaal bedank dat jullie ons allemaal helpen.

Kan KazAa dit progje niet blokken ofzo?, of willen ze dan dat we geld betalen.

Een oplossing voor het stoppen van dat programmatje lijkt nog niet gevonden, maar is er ook een manier om mijn internet connectie te redden? Wordt namelijk steeds fucked-upper.

Bij iemand anders het zaakje laten flushen?
MAar wel ff het juiste IP doorgeven aan de vertrouwde leden...;)

[Verwijderd]

Op dinsdag 11 juni 2002 00:43 schreef Loco-Motiv het volgende:

[..]

Bij iemand anders het zaakje laten flushen?
MAar wel ff het juiste IP doorgeven aan de vertrouwde leden...;)

Dat bedoel ik niet. Er zijn nu heel veel clients die mij proberen te connecten. Blokt het gewone verkeer nogal en de firewall verbruikt nu ook constant 30% van de CPU tijd, en das zonde.

[Witlof]

een ander IP-adres zou toch dan de oplossing zijn aangezien in de ini-files van de illegale clients een IP-adres staat

[Arjan Scholl]

Op dinsdag 11 juni 2002 07:18 schreef Witlof het volgende:
een ander IP-adres zou toch dan de oplossing zijn aangezien in de ini-files van de illegale clients een IP-adres staat

Is al gebeurd dacht ik

[Verwijderd]

Op dinsdag 11 juni 2002 13:53 schreef arjanscholl het volgende:

[..]

Is al gebeurd dacht ik

Nee, da lukt mij nie. Ik snap nie echt hoe da zit.

[Witlof]

Op dinsdag 11 juni 2002 14:11 schreef The_Outlaw_Torn het volgende:

[..]

Nee, da lukt mij nie. Ik snap nie echt hoe da zit.

Welk OS draai je? Propeer het eens met winipcfg of ipconfig.

[Verwijderd]

Op dinsdag 11 juni 2002 14:11 schreef The_Outlaw_Torn het volgende:

[..]

Nee, da lukt mij nie. Ik snap nie echt hoe da zit.

Als je nu toevallig kabel hebt, dan kan je toch een ipconfig /renew(nt) winipcfg alle vernieuwen (win98) doen of zoiets waardaar je een ander ip-nummer krijgt.

dit pas je dan weer aan zodat de DNS naam weer op het nieuwe ip-nummer flusht.

die oude (hack variant probeert nu op het oude ip-nummer te connecten, maar daar heb jij geen last meer van dan )

zoiets toch, correct me if i'm wrong

[NightBird]

Gewoon contact opnemen met je provider, effe uitleggen, heb je meteen een nieuw IP. Zij kunnen namelijk gewoon hun DHCP server een schop verkopen, en dan is het goed.

[Mobster]

Op dinsdag 11 juni 2002 16:17 schreef NightBird het volgende:
Gewoon contact opnemen met je provider, effe uitleggen, heb je meteen een nieuw IP. Zij kunnen namelijk gewoon hun DHCP server een schop verkopen, en dan is het goed.

Dutch Hitparade Cows Power?
* Mobster denkt dat Nightbird een beetje in de war is

Het is DPCH NightBird

[Teun]

ik heb allebij de programma weer online gezet. die msn hack met het bericht dat ie niet werkt en ongewenste software installeerd.
en de hack met de keywords: hack crack msn fix. dus dan vinden ze die ook als ze msn hack zoeken.

kan er misschien ff iemand met kazaa zoeken naar msn hack en kijken of de fix ertussen staat?

[Verwijderd]

hum staat er niet bij

ik heb de naam van het proggies veranderd in:

msn hack - WARNING TROJAN
msn_hack - WARNING TROJAN

met de volgende beschijving:

IF YOU HAVE THIS TROJAN ALREADY INSTALLED CONTACT [e-mail] FOR REMOVAL SOFTWARE.

[Witlof]

Ik heb net ook nog een feedback ingevuld naar Kazaa. Hopelijk reageren die er ook op en blokken ze het progje (als dat mogelijk is).

[polo1987]

Op dinsdag 11 juni 2002 16:22 schreef Mobster het volgende:

[..]

Dutch Hitparade Cows Power?
* Mobster denkt dat Nightbird een beetje in de war is

Het is DPCH NightBird

eh.. Nightbird had het wel goed, hij bedoelt namelijk niet de hitparades, maar een server die ip adressen uitdeelt aan clients.
beetje simpel gezegt dan.

[NightBird]

Op dinsdag 11 juni 2002 16:22 schreef Mobster het volgende:

[..]

Dutch Hitparade Cows Power?
* Mobster denkt dat Nightbird een beetje in de war is

Het is DPCH NightBird

Dutch Hower Cows Pitparade bedoel ik natuurlijk .. duh

[Teun]

het veranderen van die naam had ook niet veel invloed.



ik zag het net te laat.

[Verwijderd]

nou hij kan iig lezen dat het niet een gewenst proggie is.

ik hoop dat kazaa proggies kan blokken!!

[Buzzman]

Ik heb de subject aangepast naar het voorstel van http://gathering.tweakers.net/forum/list_messages/521894/1?limit=100. Als het niet goed is hoor ik het wel via mail

[Verwijderd]

HE Buzzman, strakke actie.

ik zelf ben al druk bezig met users in kazaa te vertellen dat Msn Hack een TROJAN is en dat ze hem moeten verwijderen uit hun shared files.

ik gebruik daarvoor deze messege:

Please remove Msn Hack from your shared files, it is an TROJAN and installs unwanted software.

If you have already installed the program contact [e-mail] for removal software.

look here >> C:\Program Files\Microsoft Hardware\

you will find a program called dnetc.exe, it is not harmfull to your computer it just takes up 100% CPU-load.

please remove Msn Hack from your shared files,

Thx Mo-Bees

misschien is het een idee dat mensen die kazaa (lite) gebruiken deze messege sturen naar users die Msn Hack (van Tweakers.net) in hun shared files hebben staan, alleen bereik ik nooit zoveel mensen dan met een stuk of 10.

Ik kreeg vanavond 2 positieve reacties op mijn bericht dus het is de moeite waard dacht ik.

ps. Ik ben niet eens lid van DE

[Verwijderd]

Dank je Mo-Bees.

Maar met dat renew gedoe gedaan. Opnieuw opgestart omdat het i'net het niet meer deed. Toen ie opnieuw op was gestart, wat denk je: zelfde IP.

[Verwijderd]

Op woensdag 12 juni 2002 01:16 schreef The_Outlaw_Torn het volgende:
Dank je Mo-Bees.

Maar met dat renew gedoe gedaan. Opnieuw opgestart omdat het i'net het niet meer deed. Toen ie opnieuw op was gestart, wat denk je: zelfde IP.

dan moet je provider bellen en vragen om een ander ip nummer!

zit niks anders op, maar dan ben je wel van die brakke internet verbinding af