Como una herramienta para ayudar a encontrar al culpable, aquí es un dtrace oneliner que imprime el pid y el nombre de cualquier proceso que se abre un archivo para escritura, junto con el nombre de:
dtrace -qn 'syscall::open*:entry /arg1&3/ { printf("%d %s %s\n", pid, execname, copyinstr(arg0)); }'
Se necesita ser ejecutado como root (por ejemplo, con sudo). Tubería en grep hosts
para evitar el ahogamiento de la producción y la falta de lo que usted está buscando:
sudo dtrace -qn 'syscall::open*:entry /arg1&3/ { printf("%d %s %s\n", pid, execname, copyinstr(arg0)); }' | grep hosts
Esperemos que esto le dirá lo que el proceso es de sobrescribir el archivo. Dejar que se ejecute en una ventana de terminal hasta que se activa.