Checar todo lo que fue modificado x dias antes y x dias despues para saber que hizo un atacante

find / -type f -newermt DOSDIASANTES ! -newermt DOSDIASDESPUES -ls 2>/dev/null

roosa@gitter:~$ find / -type f -newermt 2018-03-25 ! -newermt 2018-03-27 -ls 2>/dev/null

 

Esto es de la box shrek