Как найти источник вируса на сайте?

Есть vps-ка, у одного юзера в сайтах (причем только у одного, у других все ок), дополняется файл .htaccess, по какой-то причине только опенкарт не трогает (это вообще для меня непонятно) различными редиректами переодически - подозрения на шелл - каким образом можно вычислить, в чем косяк?
з.ы. Т.П. предложило сначала антивирусную проверку - файлы были удалены - но это осталось, затем сказали обратиться к специалистам :)
Сейчас сменил на одном из сайтов права на root, посмотрю, изменится или нет.
Заливать чистые cms - самый крайний вариант, к нему не очень хочется прибегать.