[vadblm]

состоит из 9 машин и сервера на FreeBSD. »

Сервер FreeBSD выполняет роль NAT-шлюза? Ну так анализируйте трафик на нём. Из встроенных инструментов могу предложить tcpdump(1), также можно воспользоваться более наглядными, но и менее подробными сторонними утилитами iftop или trafshow. Ну и король анализаторов трафика - tshark/wireshark. Для удобства можно сделать дамп при помощи tshark на FreeBSD, а затем исследовать его в GUI Wireshark. Хотя, для локализации гадёныша вполне должно хватить и выше упомянутых простых iftop/trafshow.