追記(貌似)
被入侵過的電腦 會在以下路徑建立檔案
C:\Program Files (x86)\Common Files\microsoft shared\TextConv\NSLS.dll
檔案的建立日期剛好是被入侵後的幾天...