Più che avere l'eseguibile Windows sembra che il sistema sia contattato dall'eseguibile. Cosa hai o avevi mappato sulla porta 80? Dal tweet sembra che sia stato compromesso o installato un web server lì. Quella macchina è compromessa e andrebbe piallata e rifatta. Poi c'è da verificare se hanno cercato persistenza sulla tua rete.
[cancellato] P.s. Non esporre mai apparati casalinghi su porta 80
Porta 80, 443 o quello che vuoi non cambia nulla - se sei vulnerabile lo sei anche in HTTPS o qualsiasi altra porta. La porta 80 e 443 sono comunque target più pregiati perché difficilmente bloccate da qualsiasi firewall.
Più che altro non esporre servizi casalinghi se non si è molto consci delle implicazioni e come proteggerli adeguatamente.
