Спасибо, за ваш ответ! Но анализ запросов не поможет, она меняет ip куда шлет информацию (причем похоже периодически список обновляет), уже больше 15 адресов собрал, dns не использует. Стоит прибить один адрес она начинает слать по другому. Причем ip из разных подсетей.
Решил все с помощью правила:
iptables -I OUTPUT -o eth0 -m state --state NEW -j DROP