[misher]

Demiurg
Может следует использовать sockstat
и посмотреть что за процессы конектятся
в сеть.

У тебя ppp -auto ...?
Просто был у меня случай. Вначале dns
сервер посылал udp пакеты. Потом
после еще оказалось что само ядро
тоже шлет пакет на multycast адрес (непомню какой, но это был не backdoor)
Вобщем если sockstat непоможет
рекомендую просмотреть спомошью tcpdump.