Barrapunto

Pues ya de paso, comprueba si se ha creado algún usuario y la fecha de modificación del /etc/passwd, que parece que andaban queriendo modificarlo.

¿Ese script "email.php" lo habéis programado vosotros o es sacado de alguna parte? Si está hecho en otra parte, y lleva tiempo rondando por ahí probablemente está muy guerreado y sea seguro. Aunque como contrapartida, al ser conocido es posible que hayan encontrado un exploid.

El código está copiado de un foro, pero no tiene ninguna complejidad, es tan sencillo como lo que explico. Es demasiado simple como para tener agujeros, imagino que encontrarle una vulnerabilidad a eso es casi como encontrársela al "Hola, Mundo". Si pueden entrar será por un problema de configuración del servidor, y eso ya no es cosa mía, es cosa de DreamHost.