Eu executaria strace -fo strace.log ou o equivalente em seu sistema, se não Linux (como truss no Solaris, tusc no HP / UX, dtruss no OS / X ...) no comando que ( eventualmente, chama esse gancho.
Em seguida, em strace.log , você poderá ver o que o chmod() (ou fchmod() ou fchmodat() ...) e seguir o encadeamento de execve() s para ver o que causou a permissões de arquivos a serem modificadas.