Надеюсь, ваш деинсталлятор удалит запись реестра, так что вы можете исключить это. Это означает, что служба не была удалена, но вместо этого явно удалена.
Кем, когда или почему это не то, что вы обычно можете получить. Аудит файлов в NTFS редко включается. Но я почти уверен насчет who . Файлы не исчезают самопроизвольно. И снова, при условии хорошего дизайна, ваша служба будет работать под учетной записью пользователя с низкими разрешениями, поэтому она не сможет удалить себя. (Существует также дополнительная защита, что работающий EXE не может удалить себя, потому что EXE заблокирован ОС во время работы).