У пользователя в качестве шелла стоит программа, протоколирующая все его действия.
Поэтому нужно запретить ему менять шелл с помощью chsh.
Как это сделать?
/etc/shells трогать нельзя - на компьютере есть и другие пользователи, которым нужен нормальный шелл.
