スパイウェアの挙動による、としか。

仮想マシン上の操作が実マシン上のインターフェースを経由するなら、キーロガーはそれを記録するだろうし、
仮想マシン上のネットワークが実マシン上のNICを経由するなら、パケットモニタはそれを記録するだろうし、
特定のソフトウェアを監視するスパイウェアでも、それ自体仮想マシンソフトに対応していれば、当然スパイされるだろうし。