Acontece que é o mesmo problema com o software de VPN em este link
Na minha situação, é /etc/pulse-hosts.bak . Sugiro usar ls -lha /etc/*hosts* para listar todos os arquivos suspeitos para que você não possa perder ninguém.
Ferramentas para rastrear a modificação de arquivos: sudo opensnoop 2>/dev/null | grep hosts
Ferramentas para desabilitar a alteração no arquivo de hosts (caso você não encontre nenhuma pista): sudo chflags schg /etc/hosts