webmail, phpmyadmin ve benzeri bilinen ve ortak yerlerden ulaşılabilen scriptleri iptal et, bakalım tekrar oluyor mu.

#ls -al /var/spool/cron/

bunun çıktısını da verebilir misin? Eğer bilgileri özel mesajla gönderebilirsen akşam saatlerinde bakabilirim, ben de merak ettim açıkçası. (acaba bir apache kurtçuğu falan olabilirmi diye) %90 ihtimalle birisi sunucunda kurulu hazır scriptlerin birinde bir açık bulup kullanıyor ama sunucuyu görmeden ancak kahve falı tadında konuşabiliyorum.