chklastlog
[chkrootkit]. Lee las entradas en el archivo /var/log/wtmp (archivo con información sobre inicios y cierres de sesión) y comprueba cada usuario encontrado en este archivo si también hay una entrada en el archivo /var/log/lastlog. El programa se quejará de los ID de un usuario con inicios de sesión pero sin información de cierre de sesión.
# chklastlog