Você pode usar find
para descobrir quais arquivos foram acessados. Por exemplo. find /hdd/mount/path -cmin -15
mostrará os arquivos acessados nos últimos 15 minutos. Claro que você tem que entrar no caminho certo onde seu HDD está montado. Caso contrário, procurará arquivos em todo o sistema. Talvez isso te dê uma dica. Se você não tem idéia de qual processo acessou os arquivos, você também pode descobrir exatamente .
Outra ferramenta que pode ser útil é iotop
. Você precisa instalá-lo primeiro:
sudo apt-get install iotop
Então você pode correr
sudo iotop -m /hdd/mount/path
para ver quais processos estão acessando um caminho de montagem específico ou
sudo iotop -f /path/to/file
para ver quais processos estão acessando um arquivo específico. A desvantagem é que você tem que assistir e esperar que o acesso aconteça.