rm -f $(find . -name “*.php” -exec grep -il ‘eval(\$o);’ {} \;)
rm -f $(find . -name “.htaccess” -exec grep -il ‘Options -MultiViews’ {} \;)

Saludos

–
Carlos Devia
http://www.imaginacolombia.com

1) Detecta un directorio con permisos de escritura.
Esto es sencillo, ya que teniendo acceso a la página principal, se puede desarrollar facilmente un script que navegue por todo tu sitio (público) armando el arbol de directorios.
Luego, una vez que tiene toda la jerarquía, alcanza con hacer un PUT por HTTP para tratar de escribir un archivo (así como está GET y POST, también estan PUT y DELETE).

2) Cuando puede escribir en un directorio, estás frito! ya que inserta una página PHP y la ejecuta. Dicha página se ejecuta con tus permisos, y, por ejemplo, ejecuta un código que recorra todo tu directorio (no el público, sino que el privado) para recolectar información, seguir poniendo otros scripts, etc.

El problema con esto, es que algunos sistemas (p.e. CMS) necesitan que ciertos directorios publicos tengan permisos de escritura, ya que por ejemplo implementan algún mecanismo de cache.

Ahora bien, según encuentro en http://wiki.linuxquestions.org/wiki/Securing_Apache, se podría agregar en el archivo .htaccess del sitio el siguiente código para limitar el acceso PUT/DELETE:

<Directory /usr/apache/www>
    …bunch of useful stuff
    <Limit PUT DELETE>
        Require user sweeble2plope3guzza9
    </Limit>
</Directory>

En cuanto a que el servidor tenga protección para estos scripts, es cuestionable, ya que podría estar infringiendo alguna ley de violación de propiedad privada o algo por el estilo… ya que se estarían metiendo con código de tu propiedad (es mas o menos como que el dueño de la casa que alquilas se meta a tu casa para ver que estás haciendo).
Lo que si podrían hacer, es bloquear el acceso de salida (por HTTP) hacia los servidores del virus (phpfeed.ru).

Otro detalle, e independiente de este virus, es que al contar con esta falta de protección, cualquiera podría hacerte pelota tu sitio, ya sea cambiando páginas/imagenes/scripts o eliminandolas.

Si averiguo algo más te aviso.
Suerte!