SYSVOL è una cartella condivisa sui controller di dominio Windows che memorizza i file usati da Criteri di gruppo, inclusi script di accesso, file batch e altri contenuti di configurazione validi per l'intero dominio. Poiché viene replicata tra i controller di dominio, tutto ciò che vi viene inserito può essere distribuito in modo coerente a molti sistemi uniti al dominio.
Questo rende SYSVOL un obiettivo di alto valore negli attacchi che mirano a ottenere un'esecuzione diffusa all'interno di un'organizzazione. Gli operatori di ransomware e altri intrusi possono abusarne per predisporre script o payload che vengono eseguiti tramite Criteri di gruppo o altri meccanismi di dominio, trasformando un singolo punto d'appoggio in una distribuzione su larga scala. I difensori monitorano SYSVOL da vicino per individuare modifiche non autorizzate ai file, script nuovi o modificati, attività di replica insolita e aggiornamenti imprevisti di Criteri di gruppo. Permessi restrittivi, auditing delle modifiche e una revisione rapida dei contenuti dei controller di dominio aiutano a limitare gli abusi e a ridurre il raggio d'azione della compromissione.