>[оверквотинг удален]
> почту.
> Предлагаемые инструменты не подходят, т.к. они по Windows, т.к. gozi заточен под
> Windows.
> Поддержка запустила антивирус, но он ничего не нашел.
> Поддержка запустила: tcpdump -nnvvXS host 87.106.18.141(тогда CBL выдавало другой адрес)
> -w /root/traf.pcap -c 100000
> но никаких обращений к 87.106.18.141 зафиксировано не было.
> А CBL говорит что активность есть: "It was last detected at 2017-02-07
> 01:00 GMT "
> Какие будут идеи?

1) Вы от записи трафика какой эффект ожидали получить?
Допустим, в трафике есть такие запросы. Что дальше?

2) Т.к. адреса меняются, надо писать весь трафик на указанные порты, а не один айпи.
Потом по результатам обновления страницы CBL можно сделать поиск в записанном трафике.