Krzysztof Oledzki pisze:

> To jest zły, a nawet bardzo zły pomysł. Taki ciąg może trafić
> się we wszystkim, zaczynając od sesji ssh, a kończąc na sesji
> nntp do serwera news i próbie pobrania tego posta. ;)

poza tym blokujesz tylko wyjście wirusa na zewnątrz. A problem jest,
żeby go nie dopuścić ...

na pewno można poszukać wpisów wirusa na całym serwerze:
wejść do katalogu se stronami (np. /home) i komenda:
grep -r -l ohhe *

oczywiście ciąg może się znaleźć w wielu plikach, to bierzemy pod uwagę
tylko .html, .htm, .php
Wszystkie konta, na których są zmienione pliki najlepiej zacząć od
zmiany hasła do ftp i czyścić pliki ...

Wojtek