WNT/Ladex.worm afeta ambientes Windows

Com origem ainda não conhecida, o principal componente do worm se espalha por meio do caminho ?Admin$System32Imhsvc.exe, nos ambientes de acesso remoto. A partir daí, cria-se um serviço (NtLmHosts) que é carregado no sistema remoto, da seguinte forma: Display Name = “TCP/IP NetBIOS Provider”; e Description = “Provides NetBIOS over TCP/IP (NetBT) service support for NetBIOS name resolution”.

O WNT/Ladex.worm lança ainda dois arquivos .exe com a função de ocultar a presença do Ladex. Estes arquivos aparecem como: %SystemRoot%csrss.exe e %SystemRoot%smss.exe, sendo o %SystemRoot% a raiz do sistema. Se o sistema for reiniciado, o worm cria uma chave de registro: HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersion Runsmss.exe=%SystemRoot%csrss.exe. O worm pode ainda lançar um jogo de uma mosca, que não se refere nem ao trojan nem ao vírus, a partir do arquivo: %SystemRoot%system32lady.exe.