В принципе проверкой кол-ва запросов на определенный виртуалхост можно что то уточнить, и при помощи lsof посмотреть файлы какого юзера преобладают...
а так скинул в пм линк