Se você não conseguir descobrir isso na configuração do sistema ou nas pesquisas on-line, use o loggedfs ou auditd para monitorar os acessos ao arquivo. Veja Como determinar qual processo está criando um arquivo?
Por exemplo, com o subsistema de auditoria :
auditctl -a exit,always -w /etc/apt/sources.list.d/multistrap-debian.list
e observe os registros em /var/log/audit/audit.log
. Isso informará o nome do processo que altera o arquivo. Você pode querer ver o que invoca; você pode fazer isso definindo um relógio no executável, por exemplo,
auditctl -a exit,always -w /usr/lib/somewhere/strange/apt-source-list-editor
e você receberá uma entrada para a chamada do sistema execve
que executa o programa.