Хетцер отключил за участие в атаке. Как найти заразу?

iptables умеете контролировать исходящие пакеты, если дырка есть и начнется флуд, то вы можете заметить на графиках своих, но при этом надо ограничить так что бы флуд исходящий не пересекался с фильтром ДЦ и они вас Блочить не будут и вы сможете в реалтайм найти дырку, как-то так.

Можно ли объяснить как-то понятнее?

И второй вопрос уже ко всем...

Сейчас поставили ограничения на исходящие соединения. Но, т.к. соединения режутся на моменте открытия, то естественно понять что и куда пытается попасть, очень сложно:(. Ну, сапу, юниплейс, майнлинк, еще что-то подобное определили просто вбивая IP в строку поиска гугла. С остальными IP проблемы. По хуизам принадлежат каким-то хостерам, чего туда кто-то ломится, не понятно.

Может быть есть какая-то софтина, с помощью которой можно направить все пакеты на нее или на наш другой сервер в хецнере, сказать запрашивающему скрипту, что соединение установлено и получить текст запроса с урлом и параметрами?

Да. Софтина называется vpn :)

если не запретили исходящий UDP, то запретите, но выборочно

Эээ... А почему выборочно? На данный момент вроде бы запретили полностью.

например, DNS использует UDP.

В принципе заразу нашли на одном из аккаунтов.

И здесь от 27 марта

https://devlog.websafe.pl/2013/03/27/outdated-joomla-websites-with-jce-used-to-attack-beneficial-data-processing-corp-and-regions-financial-corporation/

Порты частично пооткрывали...

Ставим отслеживалку, которая при 5 мбит/сек шлет СМС с предупреждением, а при 15 мбит/сек тупо на сутки отрубает желающего качать что-то с такой скоростью.