mmm, es raro... pero si dices que todas tienen la misma MAC, se me ocurre que de alguna forma ettercap esté haciéndo un ARP poisoning"automático", aunque no debería...
puedes pegar aquí la salida del Nmap? y un pantallazo del ettercap (en modo consola please: ettercap -C) al hacer el host list
eso es falso, tu cuando introduces la pass en algún comando que lo requiera, como sudo, ssh, etc... no se queda guardada en el history, aun así aplicando las 2 medidas que indicó anon te aseguras, pero vamos, ya te digo que no se guardan