galaxy

В убунте (наверно, и в debian) пишется в /var/log/auth.log:

Nov 25 01:12:08 host.domain sudo:   galaxy : TTY=pts/1 ; PWD=/home/user ; USER=root ; COMMAND=/bin/bash

В других системах могут писать в другие файлы (/var/log/secure.log и пр.) или в syslog.

Тут написано, как логировать ввод и вывод команд, что позволяет смотреть даже, что делалось после sudo su -

ls -t1 /media/backups/ выведет только имя файла, а не полный путь. cd надо

Ну что-то типа:

cd Отчеты
for d in 2017/01/01/01/*; do mkdir -p /path/to/backup/`dirname $d`; tar -czf /path/to/backup/$d.tgz $d; rm -rf $d; done

Чтобы не менять месяц/день, можно и так: for d in 2017/*/*/*/*;

Потому что в $arr не массив, а в $cnt в свою очередь пустая строка