(type:SYSCALL exe:\/useradd) OR type:ADD_USER