Fallo seguridad servidor

[sysdebian]

Hola.
Tienes localizado el virtualhost desde el cual te han entrado ?
Si es así puedes mirar los logs, busca por entradas "POST" e intenta identificar algunos "POST" que no tengan que ver con tu aplicacion.
Si tienes una aplicacion que permite subir ficheros, busca a alguien que haya subido ficheros .php o .php.gz.
Una vez te suben eso, suelen ser shell en php y seguramente tengas el "secure_mode off" con lo cual se pueden ejecutar comando de shells, de ahi a que se hagan dependerá de lo actualizado de tu sistema.

Guarda logs, pon secure_mode a on y suerte.