вы вряд ли что-то там увидите. большая часть читов - инжект изменения памяти в адресном пространстве клиента.
варден по своему принципу отслеживает именно это. ну и наличие некоторых характерных для читов библиотек.
посмотрите нет ли каких-либо программ для работы с траффиком - фаервол или что-то похоже.
несколько акков - значит клиент презапущен не был и то на что античит сработал в памяти осталось.
