Хостился у нас сайт дружественной компании, с дырявым битрикс. Происходило с ним что-то очень похожеее, а нанимать кого-то для обновления компания не хотела, мотивируя тем что вот-вот закажет новый сайт с нуля.

Так чтобы не заморачиваться, удалили левые php файлы, инклюды, а на оставшиеся сделали:

sudo chattr -R -i /home/bitrix/

*immutable. Указывает, что файл защищен от изменений: не может быть удален или переименован, никакая ссылка (жесткая) не может быть создана на этот файл, никакие данные не могут быть записаны в файл.

Можно так же сделать, пока разбор полетов идет