Большое спасибо за советы.
Вчера пришлось потратить полдня для очистки сайта от вредоносного кода 
(антивирус вручную ).
Еще проверили штатным антивирусом компы всех, кто мог иметь FTP доступ. И действительно у одного сотрудника на персональном компе обнаружились троянчеги.
Все пароли поменяли и перешли на sftp по winscp. Очень хочется надеятся, что проблема этим себя исчерпала.