A instalação de wireshark deve fornecer uma indicação de qual máquina é a culpada, pois ela preencherá a tela com o tráfego do IP infectado . Isso exigirá que você seja conectado a um hub embutido, pois "absorverá" todo o tráfego da rede e permitirá que você o analise ou use algum tipo de monitoramento de switchport.
Você está executando algum tipo de AV central que você pode ver e verificar os logs? Como sobre o switch, ele é gerenciado? Você pode entrar?
Uma maneira fácil seria olhar para o (s) seu (s) switch (s). Se você tem uma máquina que está explodindo uma tonelada de tráfego, você pode ver uma porta que está no máximo, eu usei esse método inúmeras vezes em lugares onde simplesmente não há qualquer tipo de monitoramento ou filtragem acontecendo. Você também pode puxar os cabos de rede do switch um por um até que ele pare e examine sua documentação de qual máquina está conectada a essa porta ou inicie o desligamento das máquinas até que o tráfego diminua.