????
Le problème vient d'attaques A PARTIR de notre serveur, et non pas d'attaques de l'extérieur vers notre serveur (ce qui est le cas dans les logs que tu affiches).  Que notre serveur soit victime de bruteforces en ssh, cela me parait normal vu notre bon référencement sur google.  

Ce qui parait par contre plus probable, c'est que l'intrusioni ait eu lieu via une faille de phpbb (apparemment il s'agirait de celui de ffsa, je lui ai envoyé un mail pour qu'il le mette à jour).  Le safe mode était désactiveé et n'importe qui pouvait donc exécuter des commandes sur le serveur.

Ce qui me rend perplexe, c'est que maintenant le safe mode est réactivé, il n'est donc plus question d'intrusion à partir d'un quelconque script php, j'ai supprimé tous les serveurs irc et scanners qui avaient été installés, et malgré tout cela notre ami a toujours un shell avec l'utilisateur www-data.  
donc deux solutions : soit il a réussi a garder un accès à la machine (vraiment) bien caché, soit il y a une autre faille.

Je me suis amusé à enlever tous les services inutiles, on a maintenant plus qu'un nombre très restreint de ports ouverts, ça permettra peut-être de faciliter les recherches.
Je v aussi me replonger dans la manpage de tcpdump pour faire un audit efficace de toutes les communications de notre serveur.

Voilà sinon pour ses activités, il semblre qu'il se contente de faire du bruteforce ssh (voir les répertoires /var/tmp/.* et son historique /tmp/.bash_history)
De nouveau cela me rend un peu perplexe, car avec le nouvelle sécurité mise en place par le segi, il n'y a plus moyen pour notre serveur d'effectuer de connexion sortante (d'où mon encore plus grande perplexité en lisant la notice d'abuse d'il y a quelques jours...)

Voilà sinon je suis aussi tout à fait d'accord avec Martin qu'il est grand temps de repasser sur le nouveau serveur