Как узнать, что модифицирует та или иная системная утилита?

strace и просмотр исходников

В общем случае — сравнить снапшоты ФС (либо ФС с бэкапом) до и после запуска.

Если менее подробно — strace? Ну или использовать логи любого из средств MAC, например, TOMOYO Linux.

ltrace ещё, потому что strace показывает чисто системные вызовы, в них замучаешься разбираться, когда происходит что-то нетривиальное.

А как вообще узнать, что я запускаю? В Винде в Процесс Эксплорере можно щёлкнуть кнопку „Цель“, затем по окну попасть и там разобраться. А здесь? В „Систем монитор“ ничего не понятно.

xprop тебя спасёт. Конкретно PID процесса-владельца окна можно узнать в строчке _NET_WM_PID, а по PID'у уже с помощью других утилит (например, ps) узнать остальную информацию.

Блaгoдapю, пocмoтpю.