Q1: Certamente. Na verdade, agora é muito comum. Um vetor comum agora é de anúncios desonestos em páginas da Web que exploram vulnerabilidades no navegador ou em plug-ins Flash / Java.
Q2: também sim. Ferramentas de plataforma cruzada, como Java e Flash, são comumente comprometidas. É menos provável que o malware tenha como alvo mais de um sistema operacional, mas certamente é possível. Também há malware relacionado ao JavaScript e a coisas como o Microsoft Office.
Mesmo quando o malware não é de plataforma cruzada, ainda é possível viajar em sistemas operacionais alterando arquivos.