だからまずsyslogだって。/var/log/syslogを見て、/var/log以下を漁って、その時間帯のログを確認するのが先でしょ。
んで、cronに何も登録無いって言ってるけど、cron.dailyとかデフォルトのやつ全部削ってるの？/etc/crontabと/etc/cron.dailyとかに定義されてる奴。
それを確認したら、常駐してるデーモン類で定期的に動作するものの設定を確認。
ウイルスやワームならtcpdumpとかも必要だけど、何らかの設定でそういう動作してる可能性のが高いでしょう。