Нужно точно определить, есть ли на компах keylogger. Проги выдают несколько подозрительных dll вроде ole32.dll, msctf.dll (точно не помню, как то так, причем говорит что это клиентская часть сервера msctf...)? msctfime.ime. Какие проги могут использовать перехват клавиатуры для служебных нужд и чем обычно пользуются админы кроме radmin?
Как определить keylogger по сетевой активности?

Легко. Берешь пару бутылок вискаря, выпиваешь их вместе с админом и, когда дойдет он до состояния "ты меня уважаешь?" выпытываешь все секреты.

Виски и паяльник нельзя, к сожалению.