의심스러운 생각이 드는군요.
확인되지 않은 계정은 모두 접속 불가 시켜야 합니다.
싱글 모드로 부팅한 다음 루트 패스워드를 변경하시기 바랍니다.
싱글 모드 부팅후 passwd root 명령으로 루트 패스워드를 변경하시고,
vi 로 /etc/passwd 파일을 수정하여 확인되지 않은계정의
/bin/bash 를 /bin/null 같이 변경하거나 아이디 앞에 *아이디 같이
별표를 붙여서 접속을 제한합니다. 또한 설명된것과 같이 불필요한
서비스는 전부 내리고, 최소한의 서비스만 설정합니다. 또한, tcp-wrapper
설정으로 불필요한곳의 접속을 최대한 억제하여야 합니다.
ps -aux 명령으로 프로세서도 점검을 해보시구, 루트의 .bash_history 파일과
의심 스러운 계정의 파일, 시스템 로그 파일등등 모두 조사해 보아야 합니다.
lsmod 모둘 점검, find 를 이용한 setuid 점검등등..노가다.. 
침입이 확인되고, 확실히 해킹이 되었으며, 침입자의 작업 내용을 파악하기
힘들 다면 백도어가 확실히 존재할 가능성이 있습니다. 물론 백도어는 몇개 일지
알수 없습니다. 따라서, 침입이 확인이 되었다면 갈아 엎어야 합니다.
백업 부터 하시구 작업해야 겠지요..
해킹이 아니길 기원합니다~.
먼저 다른 관리자 분이 있으시면 확인해 보세요.
  : : 안녕 하세요..
: : 서버가 3일전부터 끙끙 앓기 시작했습니다.
: :
: : 증상은 우선 서버가 127.0.0.1 로 사용자에게 메일을 보내는데요..
: : 메일이 도착 하지 않습니다.
: : 재부팅을 하면 메일이 가긴 합니다.
: :
: : 계정을 주지도 않았는데 /home 밑에 방이 3개 생겨 있습니다.
: :
: : home/arkd00r
: : home/arkd00r2
: : home/nolimit1
: :
: : 이런 방이 생겨 있구요. 물론 접근 불가 되어 있습니다.
: :
: : root 패스원드가 바꾸어져 있습니다..
: :
: : linux single 하고 부팅을 하니
: : Enabling swap space  [ok]
: : bash#  <- 요기에서 걸리네요
: :
: : 그런다음에는 모든데몬 kill
: : 다시 리부팅.
: :
: :
: : 루트 권한 어떠케 하죠 ㅡ,.ㅡ
: : 쩝. 첨 당하는 일이라 에고.......
: :
: : 몽땅 지우고 다시 깔아야 하나요???
: :
: : 로그 파일 보는법 알려주세요..
: : var 어딘가에 있다는데..
: :
: : 이런일이 생기다닝.
: : 고수님들 조언좀 부탁 드립니다..
: :
: : 암호 파일은 pwconv  해 놓았었는데..
: :
: : --
: : 이 곳에 서명을 적어주십시오.
: : 서명. 쩝.. 해킹당한거 맞죠??
:
:
: 아직은 확실하지가 않습니다... 메일을 보내는건 다른곳에 문제가
:
: 생겼을때 서버관리자인 루트에게 보내는 경우가 있고요...
:
: 루트패스가 바뀌었다는건 의심이 가지만 우선 로그를 봐야하구요...
:
: 싱글모드로 부팅하면 당연히 #bash라고 나옴다... 싱글이니까...^^;
:
: 로그파일은 var/log/에 messages,secure 등등 이니까 vi로 함 열어보시고
:
: 로그파일은 검색하시면 보는 법이라든지 등등 나오지만 대개 하나하나
:
: 차근차근보시면 이해됩니다... 그럼.....
:
: ps:위에 home밑에 있는 폴더들 아마 백도어 일가능성이 있으니까
:
: /etc/service 또는 inetd.conf(6.x의 경우, 7.0은 xinetd.d)를 열어서
:
: 포트 열린거 있는지 확인 하시고 있다면 주석처리...
:
: 폴더에 접근 불가는 권한설정 및 소유권한을 설정하심 볼수있슴다...
:
: 만일 ls -al해서 폴더권한에 s 가있으면 백도어일가능성 농후... 그럼...
:
: --
: 광고 킬러............................--이 곳에 서명을 적어주십시오.
 노고지리