Если без каких-либо дополнительных действий со стороны пользователя начинает скачиваться или исполняться какая-то программа
х**ня детектед
значит они иммитируют веб-браузер, ищут фреймы и загружают их содержимое. а если фрейм во фрейме?
и другой возникает вопрос. если они ждут от страницы запроса GET /blablalba/1.exe то не дождутся если это не exe а gif какой-нибудь =)
а если айпишник яндекса забанить в админке зевса или еще какой-то дряни?