Подмена index.php где искать?

index.php в корне сайта меняется на зараженный. Серверными средствами. Только 1 файл. Практически мгновенно, менее секунды. Удаляю по ssh, обновляю, он уже на месте. Т.е. он откуда то такой копируется.

Не по фтп. Не по http . проверено.
В crontab пусто.

Куда копать? Обычный хостинг.

Updated:
Также в .htaccess добавляется строка. .htaccess в отличие от index.php не заменяется полностью, только добавляется строка.

RewriteRule ^\/(balladic)([0-9]+)(.*)\/bs([0-9]+)\/(.*)$ ?balladic$2=$4&%{QUERY_STRING}[L]