Eso que comentas es muy raro, desde luego. Es como si alguien hubiera restaurado intencionadamente una imagen del sistema a fecha de hace un mes, bien sea desde una imagen respaldada o si, como te comentan y estás virtualizando, a una captura de hace un mes.
Windows cuando restaura, o restaura llevándoselo todo por delante o suele ir dejando rastros y cosas por el camino; pero desde luego que no hace eso que comentas. Que haya documentos que estaban como hace un mes o que el visor de eventos tenga ese hueco ahí es motivo de sospecha. Borrar elementos del visor de eventos es un engorro y Windows cuando hace una restauración del sistema no toca los documentos personales.
