Еще есть вариант «ставить вебмин только когда надо перенастраивать», а потом сносить его)

Кстати!
Вспомнил!
Фтп.
я его обычно держу выключенным.

Тогда я вообще хз откуда зараза пришла.

ставить вебмин только когда надо перенастраивать

Когда освоишь нормальные инструменты, такие странные мысли тебя посещать перестанут.

Пароли где хранишь?

Вот даже сейчас. :)
А есть копии логов контрольном хосте, где их не подделаешь ? (Хотя, разумеется, инфицированный роутер более вероятен и антивирус его не покажет и ip сойдутся).
Да, я знаю, я до паранойи могу довести. Но как в анекдоте это не означает, что...

Да не было заразы - 99%.

А где я облажался? Ну не сдают же мой ип в аренду.

Главный пасс в голове. Он на мыло. Там пассы от сервисов. Шняга типа вконтактика и твитера - сохранены в брауезере.

Забей, не узнаешь. Этим заниматься надо - в этом и есть ошибка, у всех своя работа.
Посмотри что дальше будет. Твои цифры вполне укладываются средние флуктуации - у меня одним товарищам на полтора ляма по тарифу трафика за пол-дня дня влили. А тут - фигня.

Проверился дрвебом (их спец.утилитой) и касперским (аналогичная хрень)
Чистая система. Не перли мои пароли.

Мне про криптование даже лень рассказывать тебе, поэтому сваливаю из треда.

Неуловимый джо такой неуловивый?) (я про троян)

Dear Mr Andrey Borisov,

As you could not solve the problem within the given time or the maximum number of tests, the ticket will be forwarded for manual testing to our technician who will coordinate how to proceed further.

If we received multiple complaints, the situation can be lead to a server blocking.

А я мог от той хрени с ссл пострадать?

Понятия не имею.

маловероятно.
Проверьте tmp директории на наличие «странных» скриптов/бинарников, проверьте кронтабы пользователей (/var/spool/crontabs). Поставьте на будущее auditd и тот же fail2ban. Поработайте с iptables.

<?php include 'header_index.php' ?>
<?php include 'footer.php' ?>

Снеси пых пых, заюзай вместо него SSI.

Меня опять поимели

Симптомы те же.
Оо.

Входящего 16гб в день. Исходящего 5гб в день.
2 дня к ряду.

П-ц.

С интервалом в пару часов Словил руткит (комментарий)

Совпадение?

iptables -I OUTPUT -p tcp --dport 80 ! -d 127.0.0.1 -j LOG --log-uid
Если бяка еще активна, то быстро спалит uid, что сократит диапазон поиска.

Подскажи, как потом посмотреть лог то?

В Debian падает в /var/log/syslog

Собственно ты меня и спас:)

Таки зловред 1.sh в одном каталоге. Как-то я его проглядел.

Пасиба!