На бегете хостятся сайты, от одного из сайтов был доступ у человека с (как оказалось позже) трояном на пк. Ни рута ни фтп доступа не было.

Теперь на хосте сидит шелл, который сам создает папку с зараженными файлами, весь хост просканировал встроенным айболитом - ничего не находит.

как найти шелл на сервере?