Как найти зараженный пк в корпоративной сети?
Для этой задачи сниффер ставить совершенно необязательно. Хватит программки подсчета трафика на компах сети.
"10-Страйк: Учет Трафика" подойдет. 
Особенно если есть права админа на сетевых компах (в домене, например), тогда можно будет опросить счетчики трафика по сети через wmi.
Монитор ресурсов на сервере показывает 15-20 мегабит в сек. использования сети, насколько я понимаю сюда не входит использование сети другими пк. Не факт.
Неизвестно как у вас построена сеть может кто-то выходит в интернет минуя ваш шлюз.
Как реализовано подключение к провайдеру? Оптика, витая пара? Куда физически приходит провод от првовайдера? Какое оборудование стоит между проводом провайдера и вашим шлюзом?