Server hackeado

[PeruClic]

saludos, el caso es el siguiente, tengo un dedicado donde tengo 170 web de tamaño regular, y desde ya 1 mes empece a encontrar script maliciosos en algunas cuentas, pasa que hackearon el server, y el script q subio el hack le permitia ver los username de todo mi server y subir los archivos que quiera a donde quiera sin tener passwords, es asi que empezo a jugar conmigo, esta ultima semana me tiene en jaque, ya que encuentro sus scripts dispersos en cualquier cuenta de mis clientes, es mas sube no solo el mismo script para subir data y ver los username de mi server, sino sube script para mandar mails masivos y lo hace y lo peor estos mails son para otros links q el mismo sube en otra parte d mi server pero que son phishing, y mi datacenter me notifica esto, elimino la carpeta, se soluciona el problema pero temporalmente, pues se que volvera a hacerlo y asi es q cada dos dias sucede lo mismo, mi datacenter me ofrecer pagar por servicios avanzados q me sale carisimo, aunq estoy pensando pagarlo, porq me preocupa, quisiera apelar a los conocedores, se que les paso alguna vez, y que ideas o que podria hacer para encontrar todos los scripts maliciosos que tiene el hack repartidos en varias partes d este server, gracias d antemano, mi server es centos enterprice, uso WHM/CPanel, tengo instalado un Firewall (csf v4.33)