Как найти программу на сервере, которая посылает tcp запросы

Имеем сервер с проектом подключенным к платежным системам. Над проектом трудятся 4 разработчика.

На днях обнаружил, что с одной из платежных систем деньги уходят на сторонние адреса, хотя в бд проекта нет записей об этих переводах.

Получается, что на сервере запущен (или запускается по крону) какой-то скрипт, который ворует деньги.

Отключил вывод для пользователей на сайте. Деньги все равно переводятся. Решил отключить API в кабинерте платежной системы.

tcpdump ловит запросы на сервер платежной системы, с периодичностью 10-20 минут.

Исходящие порты всегда разные, значит скорее всего это апач. В кодах проекта искал по тексту, ничего не нашел. Скорее всего код обфусцирован.

Как можно найти программу, если только знаем что она периодически отправляет запросы на определенный адрес? Крон отключать нельзя, ибо продакшн :(