Проходил данную тему, проверял и скачивал через виртуалку, попадал в примерно подобную ситуацию.
"C:\Users\user\AppData\Roaming" иногда появляются тут или "C:\Users\user\AppData\Local\Temp" здесь (это 1 вариант для полного удаления вора паролей, вручную)