Sollte eigentlich nicht möglich sein, denn eigentlich hat man mit Standardrechten keine Möglichkeit Schad-Code in den Internet-Browser zu schreiben
Wieso sollte das nicht möglich sein? Der Browser läuft auch nur mit eingeschränkten Rechten. Da kannst du ohne weiteres Code injecten. Es wird ja nichts auf die Platte geschrieben (wo die Rechte fehlen dürften), sondern direkt in den Speicher des laufenden Prozesses.
Und zum MBR: Im Artikel steht, dass bei fehlenden Rechten alternativ einfach das User Verzeichnis zerstört wird, indem die Dateien mit zufälligen Keys verschlüsselt werden.