Win.Trojan.Hide-1 (Как найти "консерву" с трояном)

[Фантом]

Не уверен, что раздел правильный, но...

На web-сервере завелась гадость, которую ClamAV именует Win.Trojan.Hide-1. По-видимому, источник "сидит" в одном из нескольких сайтов, размещенных на сервере, но непонятно, в каком именно. Его можно найти, когда он запустится (появляются характерные файлы в /tmp), но хочется как-нибудь и источник обнаружить. Не подскажете, как это можно сделать?

[Bizdelnick]

Как вариант

Код: Выделить всё

#!/bin/sh

FILE=/tmp/evil

while inotifywait -e create "$(dirname "$FILE")"; do
        fuser -v "$FILE"
done