Após uma rápida pesquisa, eu acho que acontece assim: o kernel percebe um novo dispositivo, isso vai para udev (lida com dispositivos), então para udisksd (disco gerenciador de arquivos nautilus é informado sobre um disco, então o sistema de arquivos é montado com FUSE que puxa ntfs-3g driver do sistema de arquivos userspace (está no pacote ntfs-3g) que imprime no syslog.
ntfs-3g-2013.1.13AR.1 / src / ntfs-3g.c: 3660:
ntfs_log_info("Version %s %s %d\n", VERSION, FUSE_TYPE, fuse_version());
if (strcmp(opts.arg_device,opts.device))
ntfs_log_info("Requested device %s canonicalized as %s\n",
opts.arg_device,opts.device);
ntfs_log_info("Mounted %s (%s, label \"%s\", NTFS %d.%d)\n",
opts.device, (ctx->ro) ? "Read-Only" : "Read-Write",
ctx->vol->vol_name, ctx->vol->major_ver,
ctx->vol->minor_ver);
ntfs_log_info("Cmdline options: %s\n", opts.options ? opts.options : "");
ntfs_log_info("Mount options: %s\n", parsed_options);