Possibile, script Java o Activex possono contenere codice maligno...
Oppure software insallato sul PC da parte del singolo utente con allegati software tipo Gator o Save.Exe ti cito quelli che ho visto di più in giro in questi mesi "di lotta" magari non di tipo malware ma spyware...