отследить что пишет в php

htop?

После того как я очищаю все *.php файлы от этого дерьма через какое-то время код добавляется снова.

какая cms/framework? дыры точно все залатал? ядро, плагины, темы

надо понять какой скрипт изменяет файлы, как-то отследить это.

пропускать каждый запуск php через strace, например. это серьёзно просадит скорость выполнения, но не похоже, что тебе есть что терять.

увы, точный код не подскажу - потерял

Какие могут тут быть варианты?

переименовать index.php в xedni.php и поправить DirectoryIndex. Это не вылечит сайт от вируса, но проверит вирус на вшивость

access.log на время переписи файла и кроны не проверял?

Для начала chmod -R a-w .

inotify-tools