Existe um atributo lastLogonTimeStamp
no AD que fornece estas informações. No entanto, para ter esse atributo, seu domínio deve ser pelo menos o Nível Funcional do Domínio do Windows Server 2003. Só porque você tem DCs de 2003, não presuma que seu DFL foi elevado a esse nível se você está tendo problemas para obter este atributo.
Sam