Hola
Tengo un poblema similar, en el que anteriormente mi proveedor de servicio bloqueaba el servicio de internet a los computadores de mi compañía porque estaba saliendo spam a través del servidor de correo.
Ahora el proveedor de servicio no bloquea mi IP, sino que lo hacen páginas como Spamhaus o Spamcop. La única solución real ha sido limpiar uno a uno todos los computadores mientras se aíslan de la red (físicamente desconectados).

Tengo entendido que no solamente el servidor de la compañía sino también el servidor del proveedor es susceptible de ser infectado a través de uno de los computadores que contenga el troyano, dependiendo del nivel de protección.

Sólo quería compartir esta experiencia, y a tu pregunta, supongo que si tu servidor resulta con alguna infección, es muy probable que esta venga de las máquinas de los usuarios y se les pueda comunicar de qué troyano se trata y su método de eliminación.
Siento no poder ayudar más.

Salu2