даже если и под юзером, то браузер, имеющий уязвимость, которая приводит к исполнению произвольного кода, будет виновным в заражении, а не юзер или ОС. Если не прав - поправьте