Вообще-то если ты не забыл эксплоит найден в коде обработки видео-контейнера. Фактически тут нужен самый минимум действий со стороны пользователя.
Как поиметь пользователя? Причём много сразу? Да элементарно. VLC до сих пор довольно популярный плеер и не стоит сбрасывать его со счетов. Берём какую-нибудь новинку кино, модифицируем контейнер соответствующим образом засунув туда эксплоит и нужный нам код, и выкладываем это счастье на все трекеры страны. Пользователи других плееров возможно даже не заметят подставы — у них плеер только лишь тихо выматерится и проскипает «битое» место выдав немного артефактов на экране, а может и вовсе замолчит, а вот все пользователи VLC получат подарочек. При правильном подходе можно даже заглушить ошибку и восстановить воспроизведение, чтоб они вообще не заметили, что их поимели. Одного раза мало? Берём ещё какую-нибудь новинку голливудских испражнений и так пока не надоест.

Одну только версию 2.0.5 под винду скачали ~45 000 000 раз. Если предположить, что нам достанется 5-10% из них, то это уже весьма недурственный ботнет, а если учесть, как пользователи винды из кожи вон лезут обновляться, то пользователей у VLC может быть даже в несколько раз больше, а уязвимые версии будут ещё использовать и использовать. Особенно если никто достаточно долго не будет замечать происходящего и удастся тихо заразить как можно больше машин.