Вот заметил за сервером, что он изредка зависает на каких то сайтах )) а точнее через 80 порт висят сессии с IP адресами:
213.155.158.10
213.155.158.17
213.155.158.24
213.155.158.25
213.155.158.26
213.155.158.27
213.155.158.40
213.155.158.42
213.155.158.43
213.155.158.49
213.155.158.51
213.155.158.58
213.155.158.65
213.155.158.67
213.155.158.73
213.155.158.82

По процессу, который генерирует их выяснил что это Java.

Заблокировал всю подсеть за ненадобностью )) не такой уж нужный движок чтобы обновлять его каждый месяц.

А написать решил, т.к. почитал в интернете форумы по запросам этих адресов и увидел какого только бреда люди не пишут )) и про ЦРУ даже