Как javascript получает доступ к cmd из браузера?

Подцепил вирус от которого с трудом избавился. И суть в том что последние дни я ничего не скачивал и не открывал. Но зато было такое что при посещении некоторых сайтов антивирус кричал ахтунг.

Я больше в администрировании разбираюсь, не особо силен в js, тем не менее насколько знаю js не имеет доступа к командной строке. Да и nodejs вроде как не может своими модулями получить доступ к cmd или powershell.

Как же тогда так делают, что зашел я на сайт, а мне джава скриптом подгрузился и запустился исполняемый файл, который уже можно наблюдать в процессах?

Или раньше ещё на андроиде замечал, зашел на сайт, телефон начинает вибрировать, выскочил алерт что срочно нажми кнопку "ок" чтобы что-то там устранить. Как только нажмешь оно само скачает и установит приложение. Не могу понять как js получает доступ к функциям ОС. Ведь для установки apk файла, нужно вручную тыкать "установить". Подскажите где можно почитать об этом?