Em uma sessão de bate-papo, mais algumas evidências foram examinadas e essa conclusão foi alcançada:
yes, sometime ago, i added export DISPLAY=mywindowsip:0.0 in my shell rc file
so this was executed everytime when i ssh to the shell
A variável DISPLAY, encaminhada para ssh, estava sendo apagada, e a máquina unix estava fazendo conexões não-autorizadas diretamente para o servidor cygwin X.