Столкнулся с такой же проблемой.
Ищите в каталоге /var/spool/cron файлик bitrix. В моём случае внутри было такое */10 * * * * bash ~/.nodes
Далее идём в домашний каталог пользователя bitrix(/home/bitrix) и там достаточно просто переименовать .nodes, например, в .nodes.trojan
Пока для меня осталось загадкой как это добро просочилось в проект.