[jomper]

Med default auditing-inställningar på servern så loggas som sagt inget sådant.

Om filerna kopierats direkt från servern till ett USB-minne anslutet på klienten så är det nog väldigt svårt att hitta någon information i registret, bland temp-filer osv.

Om filerna däremot öppnats så är det helt klart värt ett försök, kika isåfall under användarens HKCU-nyckel och i hans %temp%-katalog i användarprofilen. Kolla recycle bin osv också utöver tips ovan.

Ytterligare ett tips är att sökfunktionen i XP är riktigt dålig, det är många ställen den inte söker på. Jag brukar köra dir /s filnamn.fil från roten på disken istället.