Как знать какой из сайтов взломан?

И все под одним юзером? Тогда можете считать, что все взломаны.

Нет, каждый под своим

Ну тогда должна быть такая возможность, где-то в логах линукса надо искать - точнее не скажу. В разделе серверного администрирования спрашивайте, там от Вас более подробная информация потребуется.

Ключевое слово лениво 😂........так наймите кто занимается чисткой за вознаграждение, знаю, что ему не до лени будет, а вы спокойно ленитесь дальше 🍿

nethogs покажет у каких процессов интенсивная сетевая активность.

lsof -p <PID процесса>

среди всего прочего покажет pwd - текущую рабочую директорию, из которой скорее всего и был запущен атакующий скрипт.

Попросите хостера проверить вашу услугу или сами установите антивирус для проверки. Там видно будет, что и где заражено.

Но по своей практике знаю что лучше все лечить, так как хвосты потом долго вычищать придется, если сразу лечить не начнете.

xxxxxxx.net - по идее это директория сайта в логе? Ну если совсем без знаний линукса и сайт один,то отрубать сайты по очереди пока не прекратится активность, а потом уже по папкам искать. Ну или

Молодцы ребята, правильно мыслите, если исходить из того, что эта атака идёт круглосуточно. Но к сожалению, обычно у таких взломщиков в активе не один и не два взломанных сервера, а десятки и сотни. И конкретно к атаке именно с этого сервера они могут вернуться и через неделю, и через месяц. Так что ТСу придётся установить круглосуточное дежурство у компа, дожидаясь начала атаки.

Этот алгоритм срабатывает в 99% случаев, если реагировать на абузу хотя бы в тот же день, а не через неделю.

Коллеги, всем спасибо, но пришлось-таки вручную каждый сайт чистить...

nethogs показывал только процессы www, lsof -p тоже ничего подозрительного не вывел.