На серверах вирус, что делать?

Разница в размере между зараженными и чистыми постоянная ? Если да, то сколько байт ? Проверь clamscanом, он хорошо и линуксовые вири должен находить.

> Разница в размере между зараженными и чистыми постоянная ? 
Нет, вот разница в размерах для 3х файлов: 5636, 5520, 2576 bytes... 

> Проверь clamscanом, он хорошо и линуксовые вири должен находить.
Пробовал, чистые говорит... и так все остальные антивирусы: DrWeb, Касперский, McAfee...

Ну trend micro еще попробуй, а вообще, лучше сноси и устанавливай все заново, не забыв про security обновления...

> Ну trend micro еще попробуй

Попробовал их онлайн сканером, тоже типа чистые говорит :(

> лучше сноси и устанавливай все заново, не забыв про security обновления...

Апдейты там были, и все апдейты ставились в тот же день как выходили да и локальных юзеров нет и т.п... Поэтому мягко сказать, удивляюсь что это такое... На счет сносить, тема конечно правильная, но напряжная, сервера удаленные, пока провов распинаешь. Поэтому хотелось бы сначала локализовать проблему, дабы избежать дубля...

На будущее надо бы tripwire ставить.

а что за дистрибутив?

что за файлы меняются?

с вероятностью в 99,9% это не вирь, а хитровы@ный троянец.... тут тока хороший дизасемблер и знание асма может помочь - если не того ни другого нет - ставь по новой пингвина....

> На будущее надо бы tripwire ставить. Стоит, и именно по логам tripwire стало ясно, что файлы были заменены. Сейчас проверил файлы меняются при запуске daily крона, весь софт, который запускается по этому событию был переставлен и проверен по контрольным сумам, однако не помогло...

Так мужики, кажись это все с тяжелого похмелия :) Видимо дело было так, накатил апдейты обновил базу трипвари, а по утру эти файлы накрыл prelink, а после я про него просто забыл... ладно пойду проверять эту версию...

А зачем на серверах prelink ???

> А зачем на серверах prelink ???

Нахрен не нужен (с) Прощелкал я его, и даже не сразу заметил и сообразил, что он такую подлость может сделать...