Уязвимость DLE, как найти поганца?

Только обнаружил, что эта проблема по всему серверу, как на dle сайтах, так и на joomla.

айболитом нашел такие файлы:

sysaz.php

wp-plug.php

sys.php

Еще js код и php код дописанный во всех index.php

про .htaccess и так понятно они все переписаны.

Удалил скрипты и коды, начал восстанавливать .htaccess но через минуту все .htaccess стали такими же. php не появилось. Я посмотрел на другой сайт там такая же история с кодами.

я подумал, скрипт же должен запускаться сам через каждое время, взглянул на крон, а там вот что:

*/30 * * * *

/bin/bash /usr/local/bin/fornex-rm-php-sess.sh >/dev/null 2>&1

@reboot

/bin/bash /usr/local/bin/fornex-update-rpafconf.sh >/dev/null 2>&1

* * * * *

/bin/ps -C gzip -o pid h|/usr/bin/xargs /usr/bin/ionice -c 3 -p >/dev/null 2>&1

* * * * *

/bin/ps -C tar -o pid h|/usr/bin/xargs /usr/bin/ionice -c 3 -p >/dev/null 2>&1

10 0 * * *

/usr/local/ispmgr/sbin/cron.sh sbin/mgrctl -m ispmgr task.daily

14 3 * * *

/usr/local/ispmgr/sbin/cron.sh sbin/update.sh ispmgr

*/30 * * * *

/usr/local/ispmgr/sbin/dbcache

1 * * * *

/usr/local/ispmgr/sbin/rotate

15 2 * * *

/usr/local/ispmgr/sbin/traffic.pl

Кто что скажет?

krek753, крон скорее всего не при чем, вероятно у вас в одном из файлов дописан "правильный" код, который спамит в другие, при открытии сайта все автоматом срабатывает...

Подобные файлы могут быть разных названий и даже содержания, но выполнять одну функция - давать доступ. Так же не всегда крон влияет на автоматическую перезапись, так же все это можно сделать через скрипт.

Шел может быть залит только в корневые каталоги или во все другие тоже, которые находятся на сервере? Хочу полностью переустановить движки.

Может быть где угодно, на любом из сайтов.