Сам долго с подобной проблемой возился(узнал что сервер взломали только когда нашел эксплоит для эскалации привилегий). Итог такой, перенес все на новый сервер, старый был полностью скомпрометирован и искать что-то там было просто не выгодно, на новом сервере проблемы не было.

P.S проверьте на безопасность Битрикс так как может повториться снова