Как определить, какой программой генерируется файл в Linux?
Пока программа работает с файлом - она держит его открытым. Мониторьте lsof.
Или, если у вас есть подозрение на конкретную программу - запустите ее от имени уникального пользователя. Созданные ей файлы будут принадлежать этому пользователю.
в первом случае - заранее настроить аудит и искать событие доступа к файлу в /var/log/audit.log
во втором - inotify.