sockstat -p 80 -4 помогло
виновника нашел теперь вопрос почему?
трафик подымала антивирусная прокся havp судя по всему.
но в логах сквида (через которого все юзера работают) небыло ни у кого сумашедших каких-то загрузок
есть подозрение что хавпом не только сквид но еще и кто-то присоседевшийся пользовался (он слушал все интерфейсы ==> мог кто угодно с инета присоседится). но тогда почему небыло сумашедшего трафика в инет?