Не должно быть такого в корне. Смотри логи, кто заходил, что за софт имеется, кто куда пишет.

Dec 16

Да наверное он сам «по пьяни»™ случайно от рута создал.

Скорее всего криво написанный или криво измененный скрипт гадит.

Софт обычный - апач, мускул, пых-пых, профтпд. Из необычного ничего нет.

учимся читать 'Иногда замечаю' - значит не в первый раз. Дата неверная, я уже удалял это 'кавычку' пару месяцев назад.

Из самописного сейчас ничего нет...

Тут не все телепаты, знаете ли. А по уровню вопроса вполне можно предположить, что «замечаете», когда делаете «ls /»

А по сабжу: можно посмотреть всякие /etc/cron.d, /root/.bashrc etc. Ну и всегда можно демона через inotify повесить и, при появлении файла, сохранить инфу о создавшем процессе.

Спасибо

Отличный вариант - inotify. Если будет результат обязательно отпишусь.