vorgänge einer installation überwachen

Hallo Liebe Gemeinde,
soeben hat ein unbekannter sich über VNC gespiegelt und über start-->ausführen eine exe datei runtergeladen.
ausgeführt wurde diese wahrscheinlich nicht.
das vermeintlich verseuchte system ist erstmal vom netz.

nun, da ich weiss wo die datei liegt möchte ich eine VM basteln und die datei erneut ausführen.

im hintergrund soll ein tool laufen, welches die installation des "programmes" überwacht und aufzeichnet.
also z.b. die veränderungen an der reg oder wo etwas auf hdd geschrieben wurde.

kennt jemand solch eine software lösung?

ps: kennt jemand diese art der spionage?