Мониторинг файла!

Я бы для начала поставил mod_security в режиме логирования, посмотреть какие запросы подозрительные идут к движку

1) закрыть фаерволом все служебные порты (21, 22) оставить доступ к ним только с IP админа.

2) Закрыть фаерволом возможность открывать новые порты.

3) С помощью find поискать файлы php в папках со статикой, обычно там прячут вебшелы

4) Запретить выполнение файлов файлов PHP в папках со статикой.

5) Перезаписать из не скомпрометированных бэкапов все файлы движка

Это вы monit пытаетесь изобрести.

Отчего уверен, что дело в движке? По тупости "взлома" - больше похоже на вирусню, которую по ftp подкладывают.

Тогда бы его ip засветился в логах

Ребята, напутствия АЙС, спасибо, но некоторые "режут уши", zexis, я не могу порубать ФТП и все остальное на публичном сервере ))) туда клиенты должны подключаться ) Я уже анализировал систему, она не скомпрометирована как и сам фтп\ссш акаунт клиента, пароли поменяли уже чисто из профилактических взглядов. Ломают явно как-то через веб, потому что ни ФТп ни ССШ логов не содержит по логинам... а вот веб трафик задолбался анализировать, ресурс не мелкий, логов шпарит дай боже.... и геты там и посты..... все в куче......

Сейчас пока своим алгоритмом изобретенным жду следующего апдейта назначенных файлов, что бы потом сравнить время и ужее в более коротком куске апач лога изучение проводить .....

Создай карантинный впс и скинь туда

1 - вынести этот сайт на отдельный vps или на php-fpm

2 - у нас был аналогичный случай, работало apache-itk и каким то чудесным образом в конфиге сайта имя пользователя был root (от какого пользователя скрипты запускались)... вот так нас "ломали"

Обычно по тому что именно пишут в эти самые файлы, уже можно определить каким способом это делается, ну конечно если есть опыт в этом. На первый взгляд по вашим словам это скорее похоже что у того у кого есть доступ по FTP, присутствует вирус. Но если вы тщательно преверили логи FTP и изменённый файл там не фигурирует, то видимо дело в ввв, тут опять же не только PHP может быть причиной, также и перл, гляньте на всяккий случай htaccess, есть метод активации perl'a который не возможно запретить. Ну и на конец если вы видите время изменения файла, то разве это не то время которое следует искать в логах апача? В наше время редко кто заметает следы и меняет дату изменения файла после его изменения.

PS> Может ещё права не верные на /home/user/ и тогда там любой желающий может делать что захочет.

Уже много насоветовали, может повторюсь. Сталкивался с тем что пишут напрямую в базу (висит не только на локалхосте, пароли компромайзд), где скрипт хранит контент - и при его генерации вирус попадал в паблик. Включил логирование всех запросов в mysql и грепом увидел вставку вредоносного кода.

Предполагал такое развитие событий, буду смотреть и базу.