Não tenho certeza absoluta de que será um ajuste perfeito, mas o pacote de contabilidade de processo (principalmente denominado psacct ou acct) é capaz de registrar quem (qual conta) executa (qual programa). Isso pode ajudá-lo a descobrir o que está sendo executado no momento especificado.