Tengo un escritorio con Windows 10 que se apaga inesperadamente. No vi que sucediera, pero se desconectó aleatoriamente. Cuando lo reinicié y el primer evento, según los registros de eventos, fue un "registro borrado". Los detalles del evento están a continuación. Fue realizado por el usuario: S-1-5-18, ¿cuál creo que es el usuario del sistema? No lo veo en ningún otro lugar, pero hay algunos registros en el editor de políticas de grupo que hacen referencia a usuarios similares: S-1-5-83 y S-1-5-21.
Después de borrar el registro del sistema, hubo 6 eventos de borrado de registro más. 5 relacionados con el servidor VisualSVN y 1 para el archivo de registro RemoteDesktopSessionManager/Admin.
Recientemente realicé una operación de recuperación del sistema en esta computadora de escritorio para clonar el sistema operativo en un nuevo disco duro, así que ¿no estoy seguro de si esos usuarios están relacionados con eso? De cualquier manera, borrar los registros del sistema parece sospechoso y me impide descubrir por qué la computadora se apagó aleatoriamente. Revisé el historial de actualizaciones de Windows y el reinicio no se correlaciona con ninguna operación de actualización.
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
<System>
<Provider Name="Microsoft-Windows-Eventlog" Guid="{fc65ddd8-d6ef-4962-83d5-6e5cfe9ce148}" />
<EventID>104</EventID>
<Version>0</Version>
<Level>4</Level>
<Task>104</Task>
<Opcode>0</Opcode>
<Keywords>0x8000000000000000</Keywords>
<TimeCreated SystemTime="2022-02-22T02:46:19.2450542Z" />
<EventRecordID>123051</EventRecordID>
<Correlation />
<Execution ProcessID="1456" ThreadID="11800" />
<Channel>System</Channel>
<Computer>**********</Computer>
<Security UserID="S-1-5-18" />
</System>
<UserData>
<LogFileCleared xmlns="http://manifests.microsoft.com/win/2004/08/windows/eventlog">
<SubjectUserName>SYSTEM</SubjectUserName>
<SubjectDomainName>NT AUTHORITY</SubjectDomainName>
<Channel>System</Channel>
<BackupPath />
</LogFileCleared>
</UserData>
</Event>
¿Son sospechosas esas cuentas de usuario y/o la entrada del registro?