Use ls -l
para verificar a hora da modificação em ~/.ssh/config
e, em seguida, você pode procurar algo em /etc/crontab
, /etc/cron.hourly/
(e diário / etc) ou /etc/cron.d/
para ver se há um cron trabalho que é responsável. No mínimo, você pode ter uma ideia se isso acontece sempre no mesmo horário exato. Enquanto estiver usando ls -l
, verifique se apenas o proprietário tem permissões de gravação no arquivo.
Se você tiver acesso aos arquivos de log no sistema, poderá procurar entradas em /var/log/auth.log
etc., na época em que o arquivo foi modificado; talvez alguém esteja acessando suas contas. Ou, se você não tiver acesso aos logs, pergunte ao sysadmin. Parece algo em que eles deveriam se interessar.
Outra coisa que você pode tentar é procurar o nome do arquivo em seu ~ / .bash_history:
grep "~/.ssh/config" ~/.bash_history