Bhè dipende.
Solitamente un virus solo una volta attivato si va ad insediare in sottocartelle all'interno di C:\Windows.
Se non lo si attiva, è difficile trovarlo là, bensì in cartelle dove scarichi file (incoming appunto oppure la cache di firefox e così via)
