В дополнение как вариант, на хостинге должен быть вариант подключения к серверу "типо" как на прямую. Ограничить из под данного способа входа выход в инет на время проведения работ, пробежаться антивирусным софтом каким располагаете по серверам, и вернуть себе доступ, если доступ прекращается вероятно тогда отрабатывает какой то скрипт или по, на тот случай если у вас нет бэкапов. Можно попробовать проанализировать трафик но это совсем если все плохо и есть опыт и блокировать по месту назначения.