Ataque na porta 3027

Pessoal esta manhã aconteceu um ataque onde trabalho, onde uma máquina da rede começou a disparar pacotes udps na porta 3027, congestionando completamente a empresa, bloquiei o ip desta máquina, mas nem o Norton, nem outro antivirus conseguiu achar nada em minha rede. Alguém já passou por algo semelhante ou tem alguma coisa que posso fazer??

Obs: Uso o Cl8 no gateway e 2000 no servidor interno

O problema das portas UDP é que nao existem padroes pra elas igual nas TCP, por exemplo, na porta 25/TCP voce sabe que é SMTP, já nas UDP qualquer aplicacao pode usar a porta, fica dificil assim definir origem..

O que o log diz? tail -f /var/log/syslog

é psy não sei como mas conseguiram entrar no servidor, rebutar ele e colocar as interfaces de redes em modo promisculo, cataram o ip de um cliente e fizeram a festa