Kann sich ein Eintrag im Active Directory durch ein anderes Ereignis als manuelles Editieren ändern ?

Beobachtung, daß das Feld "whenChanged" ein Datum in meinem Krankenstand hat bzw. einen Zeitstempel 5 Uhr früh zeigt.

Ich verwalte das Netz einer Schule.
Das NW-Adminpasswort weiß nur ich bzw. auf Verlangen mein Co-Admin.
Während meines Krankenstandes hat mich mein Co angerufen und nach dem PW gefragt, weil die Internetverbindung nicht geklappt hat.
Kollegen haben mir nach meinem Krankenstand vor zwei Wochen gesagt, sie hätten plötzlich ein englisches Tastaturlayout.
Kein Problem, ich weiß einen Workaround. (Serverbased Profil löschen, beim neuerlichen Anmelden gehts wieder. )

Ich habe mir dann mit csvde das gesamte AD exportiert und mir das DAtum der Änderung angeschaut. Siehe da, auch andere Kollegen haben einen Zeitstempel bei "whenChanged" der in meinen Krankenstand fällt bzw. das WE 1.4. - 3.4.2011 um 5Uhr früh und anderen "unmöglichen Zeiten" hat.

Meine Frage:
Ändern Serverprozesse "von sich aus" Profile im AD ?
Ist das ein Zeichen für einen Virus ?
Ein Zeichen für ...???