Tranzakciós logban ($LogFile) esetleg benne lehet még, de minél tovább használod, annál hamarabb fog kikopni belőle, csinálj gyorsan egy másolatot belőle. (pl. winhex-el)
A logot parse-olni pl. ezzel tudod https://github.com/jschicht/LogFileParser
Egyébként nem volt a volume-on shadow copy? (ha nem, miért nem? :)
Ha volt, akkor akár az is okozhatott ekkora mozgást, hogy régi shadow-t törölt, de igazából nem veszett el semmi adatod.