Пользователь root цепляется к пачке внешних хостов

Там везде TIME_WAIT. Это последний этап перед закрытием соединения, когда программа закрыла сокет, поэтому соединение больше не принадлежит никакому процессу, а значит, у него и владельца нет.

http://www4.cs.fau.de/Projects/JX/Projects/TCP/tcpstate.html

Т.е., у тебя какая-то программа (торрент-клиент, например) часто открывает/закрывает много соединений, и она может быть запущена от любого пользователя.

thanks

«Это волчанка» (с)

Смотрите в сторону системных сервисов для работы с сетью. Например, p2p torrent видеостриминговые программы могут себя так вести (не помню точно как называется, то ли aces, то ли нечто подобное), это если непосредственно torrent-демоны не висят (тот же transmission) как systemd сервис, ещё тимвьювер любит работать проксиком в фоне.

То есть, нужно прошерстить systemd/init подсистему на тему стартующих программ, т.к. именно инит может стартовать программы от рута.

ну если ты не сидишь от рута, это это на самом деле подозрительно