Checar todo lo que fue modificado x dias antes y x dias despues para saber que hizo un atacante
find / -type f -newermt DOSDIASANTES ! -newermt DOSDIASDESPUES -ls 2>/dev/null
roosa@gitter:~$ find / -type f -newermt 2018-03-25 ! -newermt 2018-03-27 -ls 2>/dev/null
Esto es de la box shrek
