Sem saber as portas e os protocolos que estão sendo usados, eu diria que é provavelmente um dos espelhos do Ubuntu usados para atualizar seu sistema. Ao fazer o login pela primeira vez em qualquer dia, o sistema procura quantos pacotes precisam ser atualizados. Esta poderia ser a fonte. A pesquisa inversa de DNS, se estiver usando os servidores da Amazon, será diferente da pesquisa direta.
Qual foi a porta e os protocolos usados?