Согласен, только в текущий момент.
Ну а так можно ещё посмотреть стандартные журналы системы (если конечно служба журнала событий запущена) но имхо там мало что может интересного, но некоторую косвенную инфу там можно подчерпнуть, ну а так без спец. софта (наприм файра, ведущего логи сетевых подключений) не обойтись...
Имхо можно косвенно определить - по оставшимся следам (левым файлам в папках Temp, windows, system32.

P.S. Знакомая обнаружила у себя в папке Windows файл dialpass.exe - сама она его не ставила, за комп никто, кроме неё не работает (вход запаролен на биос) ну естественно напрашивается вывод, что доставальщик паролей ей закинули по сети...а кто она вряд-ли узнает...