iddqd
а если шелл скопировали в другую папку?

хз, можно поискать файлы которые недавно создали...
ну или созданы за последние n дней...

или файлы доступ к которым последний раз производился менее n дней назад