Kaspersky Digital Footprint Intelligence tarafından gerçekleştirilen yeni araştırma, 2025 yılında karanlık webde tespit edilen 5 milyon infostealer günlük kaydını analiz etti. Çalışmaya göre, bilgi hırsızlığı enfeksiyonlarının yaklaşık %35'i Windows geçici dizini (C:\Users\AppData\Local\Temp) üzerinden yayılıyor. Bu klasör, internetten indirilen dosyaların kullanıcı tarafından kaydedilmeden önce geçici olarak depolandığı alan olarak bilinmektedir. Bulgular, enfeksiyonların önemli bir bölümünün kullanıcıların indirdikleri dosyaları doğrudan çalıştırması sonucu gerçekleştiğini gösteriyor.
İkinci en yaygın konum ise C:\Windows\Microsoft.NET\Framework\ dizini olup, tüm vakaların yaklaşık %32'sini oluşturuyor. Bu yol, zararlı yazılımların tespit edilmekten kaçınmak amacıyla meşru sistem süreçlerini kötüye kullandığı süreç enjeksiyonu ve "living off the land" teknikleriyle ilişkilendiriliyor.
Araştırma, enfeksiyonların çoğunlukla güvenilir olmayan kaynaklardan yazılım indirmek ve yazılımları yasa dışı yöntemlerle etkinleştirmeye çalışmak gibi riskli kullanıcı davranışlarından kaynaklandığını ortaya koymaktadır. Çoğu durumda kurbanlar, tehdit aktörlerinin yönlendirmelerini takip ederek zararlı dosyaları çalıştırmadan önce güvenlik yazılımlarını devre dışı bırakmıştır. Zararlı dosyalar sıklıkla meşru yazılım kurulum paketleri, lisans etkinleştiriciler veya oyun modifikasyonları olarak gösterilerek dağıtılmaktadır.