Битрикс24 - что то по HTTDP жрет 100% ЦПУ

Имеем Битрикс24, на нем 3 сайта 24brost.kz - сам СРМ brost.kz microinvest.kz - 2 сайта с 9 мая началась атака - попытка взлома по 22 порту и появились еще 10-15 httpd процессов, которые отьедают 100% ЦПУ. Порт закрыли, через копию и восстановление перенесли на другой IP, сменили. ВМ до 9.0.6 обновили - ничего не помогает. После перезагрузки СРМ вроде работает до попытки открыть один из сайтов и сразу скачет нагрузка. Визуально - в файлах не видно подозрительных записей, подозрительных файлов тоже не увидел