Как зафиксировать всю интернет активность в linux?
Wireshark, tcpdump вам поможет в анализе сетевой активности. Какие файлы "трогает" ваша утилита и какие делает вызовы, можно проверить с помощью strace и ltrace.
Для начала перекройте ему кран, пусть во внешку отдает данные только по тем портам которые необходимы.
Затем tcpdump собирайте данные с самого сервака. grep по ip. пишите в файл.
Далее этот файлик можно прогнать через uniq чтобы отсеять повторы и данных было меньше. Далее читать и искать.