Virus, Mailbombe oder wie auch immer

Moin, ich habe bei einem Kundenserver ein interessantes Phänomän.
Ist ein Server 2008 mit David FX12 in der aktuellsten Version. Seit Donnerstag versendet der Server permanent Spammails.
Wenn man den Postman Dienst beendet hört es auf, klar.
Div. Virusscans mit online und offline Scannern brachten keinerlei Befund.
Selbst wenn der Server vom Netzwerk getrennt wird produziert er fleißig weiter mails.
Open Relay und ein anderer PC im Netzwerk kann als Verursacher ausgeschlossen werden.
Es wird ein Benutzer mit einem Senkrechten Strich als Benutzername erzeugt, ein entsprechendes User Verzeichnis wird abenfalls angelegt. Im Out Ordner entstehen dann auch die mails.
Wenn man den Benutzer und den Benutzerordner löscht wird sofort wieder ein neuer erzeugt, wenn man den Postman anhält wird der Benutzer erst wieder erstellt wenn der Postman gestartet ist.

Hat jemand so etwas schon einmal gehabt und/oder eine Idee wie man die Quelle des übels identifizieren und unschädlich machen kann ?

Danke für die Tips.
Habe Q-100.232 durchgeführt und den SMTP Port geändert. Im Moment ist Ruhe, Server läuft.
Ich warte mal etwas ab ob der Zustand stabil bleibt.
Würde mich trotzdem interessieren wie das bei abgeschaltetem Relay (Weiterleiten) und Firewall passieren konnte ???