отключили 25 порт, как включить?

Попробуйте на сервер поставить clamav антивирус и в корне каждого сайте сделать что-то типа того

clamscan */* | grep -v OK

по результатам команды будут зараженные файлы с подписью что за троян там сидит, также рекомендую перевести все движки на режим работы с smtp (отключить phpmail полностью) и поставить ограничение на отправку писем для каждого пользователя в час (например 100 писем в час ~ более 1го письма в минуту, что весьма не плохо), в случае чего - лимит можно изменять в большую или меньшую сторону.

Также конечно желательно сразу выявлять спамеров, заранее сканируя каталоги пользователей и рассылая им уведомления.

Тоже была подобная ситуация недавно на Joomla 1.5. В чем была суть взлома - мозгов не хватило разобраться. Но судя по адресу, на который приходила жалоба, рассылка была со страниц, в которых в адресе были дополнительные параметры, типа http://example.com/page.php?node=mainpage&layer=**************

В итоге я в htaccess просто запретил страницы с переменной layer и все прошло. Прошло полгода - полет нормальный.

ЗЫ параметры указаны просто как пример, точно не помню

Надо лечить причину, а не следствие - судя по всему, там у вас "что-то живет уже".

Похоже, что-то у тс точно завелось....

Может - среди скриптов сайта, может - уже в системе....