Вы можете установить Tripwire и ввести набор директорий для Tripwire. Когда файл был изменен, Tripwire уведомляет системного администратора.
"$n" внутри команды -c может быть расширен внешней оболочкой, а не scrot. Вы должны избежать этого:
$ image=$(su someuser -c "scrot -s -e 'echo \$n'")