Security Incident?

Hi zusammen,

auf der Firewall eines Kunden habe ich seit Tagen eine durchgehende Verbindung zur IP 4.27.7.126 und/oder 8.254.15.126 die unmengen an Daten (60GB in 2Tagen) herunterläd.
Laut "Flow Monitor" werden die Anfragen allerdings nie nach intern weitergeleitet. Als "Application" wird "BITS" angeziegt, weshalb ich das auch erstmal ein paar Tage beobachtet habe, es sind aber definitiv keine Windows Updates.

Das Praktische: an der ASG hängen 3 DSL Anschlüsse und nur über einen wird diese Verbindung aufgebaut. Isoliere ich diesen einen DSL Anschluss vom internen netz, werden trotzdem Daten heruntergeladen.... trenne ich diese DSL Leitung ist ruhe. Verbinde ich sie wieder dauert es keine 10Sekunden und es geht wieder los.

Hat das schonmal jemand bemerkt?

Screenshots kann ich gerade nicht schicken, da ich die Leitung gerade nicht abschalten kann. Werde es dann heute abend nachreichen.
Die IP-Adressen tauchen auch in keinem LOG auf ?!

Danke schonmal.

Gruß


EDIT:
sorry, total vergessen:
es handelt sich um eine ASG220 mit v8.301