Bist du dir sicher das es über FTP war und nicht über http?
grep include /var/log/apache/access.log
grep wget /var/log/apache/access.log
ls -a /tmp wirst du sicher auch etwas finden
Kontrollieren ob der User nicht Rootrechte hat und ob Prozesse versteckt sind.
Meistens hilft aber nur eine Neuinstallation, weil du sicher irgendwo jetzt ein Backdoor hast.
Sloter