Se você não tiver nenhum processo que monitore essas alterações / criações, não terá como saber qual processo realmente criou um arquivo ou fez alguma coisa.
Este link pode ajudá-lo a iniciar a auditoria de arquivos: arquivos de auditoria do Linux para ver quem fez alterações em um arquivo
Caso você seja um programador, pode estar interessado em " arquivo do Monitor Linux eventos do sistema com inotify "