El archivo (ejecutable) en cuestión es /var/run/syslog
Si ejecutamos man last obtenemos
SEE ALSO
lastcomm(1), utmpx(5), ac(8)
Podemos encontrar utmpx en el /var/run directory Utmpx es una base de datos contable de usuarios de actual información de acceso. La clave aquí es esta declaración que se encuentra en el man página para utmpx
Tradicionalmente, se utilizaban archivos separados para almacenar el registro en ejecución de las entradas y salidas (wtmpx), y el último inicio de sesión de cada usuario (lastlogx). Con la disponibilidad de la utilidad de registro del sistema de Apple asl(3), estos archivos separados pueden sustituirse por entradas de registro, que se generan automáticamente cuando utmpx.
Así que.., utmpx está generando entradas de registro en la función syslog de OS X. Ejecute el siguiente comando:
syslog | grep 'login\['
Y obtendrá una lista de todos los eventos de inicio de sesión desde que se instaló el SO (truncada)
May 26 17:03:12 Allans-iMac login[5572] <Notice>: USER_PROCESS: 5572 ttys003
May 26 17:26:15 Allans-iMac login[5572] <Notice>: DEAD_PROCESS: 5572 ttys003
May 27 10:10:57 Allans-iMac login[5196] <Notice>: DEAD_PROCESS: 5196 ttys002
May 27 10:10:58 Allans-iMac login[4741] <Notice>: DEAD_PROCESS: 4741 ttys001
May 27 10:11:18 Allans-iMac login[6253] <Notice>: USER_PROCESS: 6253 ttys001
May 27 10:25:45 Allans-iMac login[6281] <Notice>: USER_PROCESS: 6281 ttys002
May 27 17:17:15 Allans-iMac login[6281] <Notice>: DEAD_PROCESS: 6281 ttys002
May 27 17:17:21 Allans-iMac login[6253] <Notice>: DEAD_PROCESS: 6253 ttys001
May 28 13:40:06 Allans-iMac login[7123] <Notice>: USER_PROCESS: 7123 ttys001
May 30 09:11:25 Allans-iMac login[1213] <Notice>: USER_PROCESS: 1213 ttys000
May 30 09:11:25 Allans-iMac login[1220] <Notice>: USER_PROCESS: 1220 ttys001
May 30 09:23:19 Allans-iMac login[1220] <Notice>: DEAD_PROCESS: 1220 ttys001
May 30 09:23:19 Allans-iMac login[1213] <Notice>: DEAD_PROCESS: 1213 ttys000
May 30 20:57:16 Allans-iMac login[1695] <Notice>: USER_PROCESS: 1695 ttys000
May 30 20:57:39 Allans-iMac login[1695] <Notice>: DEAD_PROCESS: 1695 ttys000
May 31 22:33:30 Allans-iMac login[2592] <Notice>: USER_PROCESS: 2592 ttys000
Jun 3 16:46:28 Allans-iMac login[2592] <Notice>: DEAD_PROCESS: 2592 ttys000
Jun 4 20:44:43 Allans-iMac login[1789] <Notice>: USER_PROCESS: 1789 ttys000
Para obtener información adicional sobre la contabilidad de usuarios, podemos utilizar el comando ac
Ejecutar man ac nos da
NAME
ac -- display connect-time accounting
SYNOPSIS
ac [-d] [-p] [-w file] [users ...]
DESCRIPTION
A record of individual login and logout times are written to the system log by login(8) and launchd(8),
respectively. The program ac examines these records and writes the accumulated connect time (in deci-
mal hours) for all logins to the standard output.
Así, según man ac la información de inicio de sesión se escribe en el registro del sistema. Ejecución de ac nos da "Si no se dan argumentos, ac muestra la cantidad total de tiempo de inicio de sesión para todas las cuentas activas en el sistema".
$ ac
total 2477.23
Para desglosarlo por usuario:
$ ac -p
testguy 0.04
_mbsetupuser 0.39
allan 2476.74
root 0.07
total 2477.24
