Кто -то активно посылает с сервера почту по 25 порту

Здраствуйте! Месяц назад мой сервер linux поломали,только непонятно как.Либо веб-сервер либо нашли дырочку в файрволе?В течении 2 дней качали инфу опять таки непонятно что и непонятно как sedmail ничегоне пишет значит могли другим способом через 25 порт.Подскажите как выявить что идет по 25 потру не через sendmail(tcpdump только пакетами долго искать а вот если сессиями то быстрее будет)?и еще возможно ли обойти файрвол если снаружи открыт только 80 и 443 порт.