У автора я кстати вижу еще замененную библиотеку RDPwrapper, не знаю намеренно это или нет - но это позволяет подключаться к компьютеру средствами удаленного рабочего стола в интерактивном режиме в скрытой сессии, в том числе под тем же самым пользователем.
И то, что ее полечил заменив обратно на оригинальную антивирус, еще не значит, что злоумышленник не сможет подключиться обратно если порт проброшен до компьютера на маршрутизаторе. Маршрутизатор тоже может быть одним из векторов атаки.