Server "indbrud"

Tja så skete det..
Natten til søndag var der nogen der brød ind i min server, overtog den og smed et par rootkits på den.

Jeg opdagede det søndag da jeg kom til live efter en bytur.. root password var ændret på min server..

Dette skræmte mig selvfølgelig lidt, da jeg syntes det burde være temmeligt svært at gætte - mange tegn og forskellige typer tegn. Men jeg genstartede og nulstillede root passwordet vha. init=/bin/bash i Grub.

Det viste sig så, at der var installeret 2 rootkits, SHV4 og SHV5 (fandt dem med rkhunter), mine logfiler var slettet og root passwordet ændret. Ellers var der ikke sket det vilde. Der havde været forskellige root logins fra f.eks. Belgien og Italien - de havde selvfølgelig brugt forskellige proxies.

Men jeg valgte hurtigt at gepartitionere og formatere hele system partitionen, da jeg kunne se en del filer i /bin/ var ændret (sikkert af de rootkits), og det ikke var værd at risikere de skulle gå amok.

Nu sidder jeg så tilbage og tænker på.. HVORDAN FAEN KOM DE IND?
Jeg havde apache2 (alm og ssl server), proftpd, bind (dns), dhcp3 og ssh kørende, som var tilgængeligt udefra. Systemet var et fuldt opdateret og patched Debian Lenny (testing) system.

De eneste par fejl jeg kan se var, at jeg havde et par porte for meget åbent. Min router kan kun natte et bestemt (lille) antal porte, så derfor var dhcp og dns vist også delte. Det var nok dumt, men ved ikke om de er kommet ind gennem den vej?
Ligeledes skulle jeg havde disabled root adgang via ssh - har jeg også i min nye install.


Nu har jeg så installeret hele systemet igen, denne gang Debian etch (stable). Men er systemet så mere sikkert denne gang? Eller kan jeg blot gå og vente på det sker igen? Har lagt mærke til i dag, at der har været en del forsøg på root login (som nu er disabled), men har ikke før lagt mærke til om det er meget normalt?

Nogen ideer til, hvordan de banditter kom ind?