Seus palpites são fáceis de testar, com exceção do Picard sendo buggy. Se o arquivo tiver apenas 11 MB, basta copiá-lo para / dev / shm (RAM) ou um sistema de arquivos nativo para testá-lo.
E eu certamente esperaria que o NTFS fosse muito mais lento e usasse muito mais CPU, mas não mudaria minutos para horas normalmente. Evitar o NTFS deve ser a primeira coisa a testar.
E a saída lsof pode ser muito estranha ... às vezes até "lsof -p $ pid" vs "lsof / path" tem saída diferente, mesmo se a segunda listar apenas um pid. Então eu não tentaria descobrir se isso é "normal" ou não.
Se você quiser saber sobre a busca e a gravação do arquivo, use strace, não lsof.