Я вижу, что новый пользователь сделан. Как знать, кто создал и как (от который программа)?
Когда Вы создали новый пользовательский взгляд в /var/log/auth.log; детали там. Я просто создал нового пользователя jim путем выполнения sudo adduser jim, например, и это в конце auth.log (я удалил дату и имя хоста от запуска журнала):