ich habe auf einem von mir betreuten Server ein unerlaubtes sudo zu root geloggt.
dann müsste es aber einen user »ubuntu« geben. das ist bei mir in der nachstellung nicht der fall.
in /etc gibt es die üblichen passwd, group etc. jeweils ohne user »ubuntu«.
es gibt aber sämtlich dafür typische files mit minus angehängt: passwd-, group- etc. – die würde ich löschen.