É literalmente impossível que eles monitorem a tela do seu computador através do SO em tempo real, se você não estiver conectado à rede. Eu passo por algumas possibilidades abaixo.
Log atrasado
Eles podem estar registrando tudo em um arquivo em algum lugar no computador e, em seguida, carregando o log quando o computador retorna à rede. Essa é a prática comum com keyloggers.
Se eles estão fazendo comentários em tempo real, isso não pode ser o caso.
Você ainda está conectado
Você ainda pode estar conectado à rede, mesmo que não consiga. Talvez você só desconectou ethernet, mas ainda está conectado no wifi. Ou talvez eles sequestraram o seu gerente de rede para ficarem sempre conectados. Você pode ter certeza de que este não é o caso, desconectando fisicamente seu cabo ethernet e placa wifi.
Isso é muito improvável, já que você disse que o problema persistiu do Windows para o Linux. Supondo que eles tenham infectado seu computador com algum vírus, o hack deve estar abaixo do sistema operacional e, portanto, ser executado com um privilégio maior que o kernel. Se este for o caso, você está lidando com hackers profissionais, e "limpar" o disco rígido pode não remover o hack; dependendo do vetor de ataque, eles poderiam ter dito ao disco rígido para nunca sobrescrever esses setores.
Câmera Button
Eles podem ter uma câmera espiã em algum lugar observando o que você faz.
Verifique completamente o seu laptop, área de trabalho e pessoa para qualquer coisa que se pareça com uma câmera. Tente também cobrir diferentes áreas com papel para ver se isso as impede.
Observação direta
Alguém pode estar olhando por cima do seu ombro.
Esta pode ser a opção mais provável. Parece que você está em uma pequena área de trabalho. Talvez alguém esteja simplesmente olhando diretamente para sua tela.