Помогите найти где изменили файл на сервере.

В общем проблема в следующем, мой Сервер был взломан через Роот пароль, сейчас сервер пере установлен, но пере направление с моих доменов идет на домены злоумышленников, где его искать?
У меня centos-5-x86_64-devel