Цвет emacs полей

Установите auditd и запустите:

sudo auditctl -a exit,always -F arch=b64 -S fchmod -S chmod -S fchmodat \
  -F path=/dev/null -k dev-null-chmod
sudo auditctl -a exit,always -F arch=b32 -S fchmod -S chmod -S fchmodat \
  -F path=/dev/null -k dev-null-chmod

Вы найдете виновного в выводе:

sudo ausearch -ik dev-null-chmod

Вы увидите имя команды, pid и родительский pid. Если имя команды chmod, то, вероятно, вы захотите узнать, что выполнило эту команду. Если ppid больше не существует, то, возможно, вы захотите еще раз проследить за всеми командами создания и/или выполнения процессов с помощью системы аудита или с помощью учета процессов bsd.