cyber$nake, в стандартных журналах системы и светится... Если грамотно настроена политика аудита, то возможно в журналах фиксируются все изменения в файловой системе и запуск приложений.