В моем случае это оказался демон обновления баз clamav называется freshclam. Но он скачивает свежие базы и успокаивается. Около 5 мегов.
Можно его совсем снести. А можно в настройках /etc/freshclam.conf увеличить параметр Checks. Это через сколько часов проверять наличие обновлений баз.
А вообще поставь iptraf. Все подробно и наглядно увидишь что откуда качает.
[Ответ]