se puede descargar automáticamente al visitar la web, pero déjame decirte que luego de descargado la victima lo tendra que ejecutar indiscutible mente, ya que no se puede ejecutar desde el navegador.
¿Estás seguro de eso?

Que si pones el siguiente link:
"file:///C:/Users/Administrador/Downloads/virus.exe"
Una vez que se descargue directamente el archivo y que el usuario haga click en el link, este se ejecutará.
(En teoría) Claro que para eso se debe permitir la descarga por parte del navegador y la ejecucion sin que el antivirus lo detecte, y que el usuario confirme la descarga si no se usa Chrome.