Имя файла cron'а какое было?
"updatedb"
я думаю это осталось с прошлого нашествия когда трой залез через уязвимость в phpmyadmin, тогда сам вирус я удалил, pma переименовал, и запрятал поглубже. Он тогда как раз орудовал из /tmp. Создал кучу вложенных каталогов с именем " ". Крон я тоже чистил ...

Еще вопрос на счет изменения папки outgoing. Как я понимаю чтобы изменить местоположение папки spool, нужно создать файл (т.к. сейчас у меня его нет) /etc/asterisk/asterisk.conf и вписать
[directories]
astspooldir => /var/spool_new/asterisk
Соответственно изменится и местоположение папки outgoing ...

В общем за день ничего подозрительного не произошло, я не перезагружал сервер в рабочее время. Сейчас перезагрузил, буду внимательно следить за логами.
Из каталога крона я удалил запись следующего содержания: 12 * * * * root chown root.root /tmp/sh; chmod u+s /tmp/sh. В каталоге /tmp ничего ...

Ordghio писал(а):версией phpmyadmin и названием папки в котором он стоял не поделитесь?

Версия 3.2.1, находился он в папке pma

Но из вне сканировалось очень много вариантов где он мог бы находиться

А нет ли у вас на станции дополнительных скриптов Автооповещение?
Неправильная работа такого мусора может порождать тонны call файлов.

Первый метод - установть Rootkit hunter
yum install rkhunter и научиться с ним обращаться.

Второй - посмотреть содержимое этих call файлов.- куда пытаются ...

Я достаточно долго уже не устанавливал посторонних приложений. Где-то полгода назад был подобный троян, он залез через уязвимость в phpmyadmin, но его место-положение я вычислил по имени файла, которое взял с форума на котором его обсуждали. В логах апача я часто вижу безуспешные попытки отыскать ...

Сегодня в логах астериска обнаружил записи:
[Jul 4 06:59:47] WARNING[5083] pbx_spool.c: At least one of app or extension must be specified, along with tech and dest in file /var/spool/asterisk/outgoing/call.aay44A
[Jul 4 06:59:47] WARNING[5083] pbx_spool.c: Invalid file contents in /var/spool ...

Та же самая проблема, не обрабатывается SIGHUP. Если положить трубку то скрипт завершается, возвращая -1. Может быть скрипт нужно по-особенному вызывать?