Проблему порешал.
Интересная ситуевина вышла.
С помощью плойта повышающего привилеги до рута были закинуты 2 бинаря в /etc/cron.d/ которые проверяли наличее 2 файлов в /tmp/ Если файлы отсутствовали, то они создавались с правами рута и set UID. Убрал бинари из cron - бекдор перестал создаватся.