Что-то периодически приписывает файлу ".suspected"

Имеется сайт на MODx revo 2.3.5
С недавних пор стала отваливаться админка (фронтенд при этом работает без проблем).

Выяснили… что-то постоянно переименовывает файл /core/model/smarty/sysplugins/smarty_internal_template.php вот в такой /core/model/smarty/sysplugins/smarty_internal_template.php.suspected

Уже и права меняли (отключали запись этого файла), и сканировали хост на base64, и т.д. и т.п.
Всё равно продолжается одно и то же.
Происходит непонятно почему в момент перехода с одного ресурса на другой, причем может день работать, отвалиться, убираем из названия файла .suspected опять работает и так постоянно.

Кто может посоветовать, помочь, за оплату или как скажете?
Спасибо!