有时候查看win的登陆信息，包括3389远程登陆信息，如果在安全日志找不到有用信息，可以WinLogOnView工具试试。看看有没有可疑的远程登陆IP.
下载地址 http://www.xitongzhijia.net/soft/120871.html