La directory AppData è un insieme di cartelle specifiche dell’utente in Windows, in cui le applicazioni archiviano comunemente impostazioni, cache e altri dati locali. Poiché l’utente che ha effettuato l’accesso può scrivervi, i software possono utilizzarla senza privilegi di amministratore. In genere si trova nel profilo dell’utente e include le sottocartelle Local, LocalLow e Roaming.
Questa comodità rende AppData anche un luogo che gli aggressori possono sfruttare per archiviare o eseguire strumenti, malware o componenti di persistenza, evitando directory di sistema più visibili. I responsabili della difesa dovrebbero esaminare gli eseguibili o i file DLL inattesi in AppData, soprattutto quando vengono avviati da software attendibile, caricano librerie insolite o stabiliscono connessioni di rete non spiegate. La sola presenza della cartella non è sospetta: contano il contesto, la provenienza del file e il comportamento del processo.