У нас тоже самое. Готовы на оплату если есть предложения. Движок самописный.
Перепробывали все что знали: просмотрели все логи, поменяли порты ssh, пароли ssh, нашли файл в который пишется JavaScript с отправкой на страницу оплаты, чистим его - через пару часов - возвращение удаленной строки обратно.
