Se apoderaron de mi servidor! Ayuda por favor

[sercba]

No entiendo realmente cómo es posible que rompan ese form, el from está con un string, sin variables post, ni get ni nada. Por el momento voy a descartar esta posibilidad y seguir investigando. Tampoco encontré más envíos con este usuario, puede haber sido una casualidad.

Ahora estoy con un tail -f /var/log/mail.info esperando un nuevo ataque para conseguir más info.

El webmail ya está con SMTP, asi que si es por ahi me voy a enterar de qué cuenta es.

Un dato curioso es que el spammer utiliza como cuenta remitente casi siempre la forma webmail@xxx.xxx, variando unicamente el dominio!

Saludos!