Продублирую с TechNet:
Для Windows 8:
Код:
<QueryList>
<Query Id="0" Path="System">
<Select Path="System">*[System[Provider[@Name='User32'] and EventID=1074] and EventData[Data[@Name='param5']='Выключение питания']]</Select>
</Query>
</QueryList>
Для Windows 7:
Код:
<QueryList>
<Query Id="0" Path="System">
<Select Path="System">*[System[Provider[@Name='User32'] and EventID=1074] and EventData[Data = 'Выключение питания']]</Select>
</Query>
</QueryList>
