Uma das causas disso é um arquivo de log ficando louco e sendo preenchido, o du -sh está ok, mas você vai estar caçando em seu sistema.
Eu começaria em / var / logs e ficaria de olho nele, veria o quanto ele cresce em uma hora ou 3.
sudo watch du -sh /var/log
Você pode tentar outros diretórios como / home também.