Трафик? Посмотрите хотя-бы /var/log/auth.log, туда некоторые службы складывают события авторизации, в том числе попытки взлома/подбора пароля. Может вас просто сетевые сканеры долбят, пытаются проломить, вот и трафик...
Узнать, не взломали-ли? Можно проверить бинарники установленных программ утилитой debsums на случай их модификации. Антивирусники под UNIX-like тоже существуют, можно воспользоваться.
