Во-первых, почему есть unused память — возможно, что все файлы, к которым обращаются приложения, весят в сумме меньше, чем у вас свободной памяти, вот что-то остается невостребованным.
Почему дисковый кеш освобождается в пользу unused — может, у вас там ramfs/tmpfs и на ней удаляется файл, вот память и освобождается? Честно говоря, трудно еще какую-то версию предполжить. Может, вы отмонтировали блочное устройство и дисковый кеш, связанный с ним, освободился?
Если вы думаете, что есть руткит, наверно, стоит переустановить систему с нуля, чтобы не рисковать. Доказать отсутсвие руткита подобным наблюдением за системой нельзя.