Para rastrear essas coisas, você precisa de algum tipo de auditoria ativada quando isso acontece. Você pode fazer contabilidade de processo (dificilmente útil na minha experiência) ou configurar o auditd para auditar chamadas do sistema como execve.
Uma vez que o evento é registrado por auditd, você pode encontrar o execve ou fork para o binário em questão e apenas rastreá-lo de volta para um determinado shell ou script. Pode, no entanto, rastrear os arquivos de serviço. Se um atacante estiver iniciando manualmente o serviço postfix a partir da linha de comando, ele informará a você qual nome de usuário foi registrado pela primeira vez no sistema como e de onde (console, nome do host do sistema remoto, etc).
Esta resposta ao longo do SF faz um bom trabalho ao apresentar a auditoria. A maioria dos usuários auditd parece ser o RHEL, então se você pesquisar no Google, você encontrará muitas informações centradas no RHEL, mas muito do conjunto de habilidades é transferível entre as distribuições, obviamente.