Então, se eu entendi bem, o código do virus pode estar num arquivo de qualquer extensão, mas precisa do script pra rodar.. É isso?
Versão Imprimível
Eu citei todas extensões possivéis, e está bem longe de ser todas como você falou. '.'
Mas enfim, precisa do script para rodar sim, se não é impossível.
Para pegar a contaminações tem que ocorrer uma ação do usuário executando o arquivo infectado, ou executar sem a intenção, como no caso de windows desatualizado e até mesmo scripts.
Há poucos modos de se escondem um vírus perfeitamente, um deles é a "Encriptação".
Citação:
Postado originalmente por Wikipédia