Uma tentativa de sombrear uma sessão de terminal resultará em um prompt solicitando que uma sessão de sombra seja permitida. Se o usuário não tiver sido solicitado a permitir a sombra, o mais provável é que isso não esteja acontecendo.
Isso não quer dizer, no entanto, que atividades semelhantes ao que você está descrevendo não possam ser feitas por outros métodos.
EDITAR:
Como o Tom apontou, o prompt mencionado acima pode ser desabilitado na Configuração dos Serviços de Terminal. Espero que este não seja o caso para você.
Você também pode pedir a outro administrador (se tiver um) para examinar as sessões no servidor de terminal ou verificar se você tem as permissões e ver se o administrador em questão está conectado. O Gerenciador de serviços de terminal mostrará o estado de uma sessão que está sombreando outra como "RemoteControl".
Você pode procurar um processo rdpclip.exe em execução no servidor no contexto do ID do usuário do administrador. Isso indica que o administrador tem uma sessão de terminal, mas não necessariamente se está ou não seguindo alguém.