Ломают через bind...

... предположительно.
Если у кого 8.2.2-PL5 - осторожно! (насчет PL7 - не знаю).
Симптомы -
1. Может встать named и не запускаться
2. В консоли TERM=dumb (вместо linux), при этом не работает mc, pine
3. Подменяются /usr/sbin/named , in.telnetd , появляется
/usr/sbin/init , подменяется /bin/login , /usr/sbin/in.smb
4. lsattr /bin : ... -----i-- ./login ...
5. Загляните в /tmp , иногда тоже что-то появляется
6. Заменяется /var/spool/cron/crontabs/root на
0/5 * * * * /usr/sbin/init
Кое на что из перечисленного в форуме народ уже жаловался
Короче - БДИТЕ!
Да, еще - проверьте порты 32100-32103