Пока ползал - файлы снова удалились
Посмотрел lsof что там происходит и выловил кучу событий на подобие этого
httpd 11538 asterisk DEL REG 252,3 3015321 /var/www/html/admin/modules/asteriskinfo/i18n/ru_RU/LC_MESSAGES/asteriskinfo.mo
Как теперь через /proc или lsof отследить какой процесс инициировал эти действия?
