loveback? - Grosse faille de sécurité serveur LAMP!!

Bonjour,

Je vais tenter de vous expliquer mon petit problème qui m'a un peu soulever le coeur!

Voilà, étant développeur web, je me suis monter un petit serveur de développement chez moi.

Basé sur une Debian Sarge, avec un serveur LAMP (apache 2.0.54, php 5.2.1, MySQL 5.0.32) et un serveur FTP proFTPd 1.2.10.

Le serveur ainsi que mon PC de bureau (sous winXP Pro SP2) se trouve derrière une freebox HD en mode routeur. J'ai activé le DMZ vers mon serveur et les ports 80, 20 et 21 sont aussi redirigés vers lui.

Chaque projet de développement est dans /var/www.

Pour chaque projet, j'ai un utilisateur (accès FTP) et un serveur virtuel.

Pour le serveur FTP, j'ai désactivé l'utilisateur anonyme et tous les autres à part les utilisateurs des projets sont blacklistés dans /etc/ftpusers

Je ne peux accèder (normalement) qu'à chaque serveur virtuel (en web) que de par l'interrieur de mon réseaux (VirtualHost par nom) puisque, d'une part je n'ai pas installé BIND, d'autre part que je n'ai pas de nom de domaine qui pointe vers mon serveur. Je n'ai qu'un domaine interne et la correpondance des hôtes s'effectue grâce au fichier hosts de Windows. Je suis, d'autre part, le seul à connaitre le nom de mes serveurs virtuels.

J'en arrive à mon problème : hier, je me suis rendu compte que tous mes fichiers php contenu dans /var/www se retrouvaient avec une ligne supplémentaire insérée en haut du fichier : et que dans chaque répertoire était rajouté un fichier nommé "Desktop__.ini" dans lequel la date été renseignée.

J'ai donc fais des recherche sur le net, et les seules réponses sont en chinoises!!

Est-ce que quelqu'un connait ce problème ?

Aux vues de mes explications, quelqu'un a-t-il une idée d'où la faille peut elle venir (apache, ftp, hosts) ? De plus, le fichier Desktop__.ini appartient à root:root!!

Je suis un peu inquiet d'autant que je ne suis pas spécialement administrateur réseau et que je ne sais pas trop où chercher.

J'espère que mes explications sont assez claires.

Merci.

Ce n'est pas ton serveur qui est infecté, mais la machine que tu utilises pour uploader les pages sur ton serveur :

http://www.webmasterworld.com/webmaster/3259869.htm