Благодарю. Нашел файлы, которые были изменены, но это не бинарники, а программы на Tcl. Находились в директориях /usr/share/doc. whatis назывались. Что-то с памятья делали как я понимаю.

Поудалял их, машину перегрузил.
Кстати, можно ли как-то наказать того, кто это сделал. IP я знаю, адрес компании которая выдала этот IP также известен.