在每分钟运行cronjob的/var/tmp/.aw中安装IPmech的黑客服务器，我如何确定我是如何被黑客入侵的

我在Ubuntu 10.04.3服务器上的一个用户帐户被黑了，我不知道如何。 密码很强。 一个cronjob被安装在我的用户的crontab中，并运行在/var/tmp/.aw中

/var/tmp/.aw目录包含一个可执行文件集合，其中包括一个名为bash的文件。

我检查了我的〜/ .bash_history，发现了一些非常可疑的东西。 我在下面提供相关的片段。

w ls passwd cd /var/tmp w ls wget http://download.microsoft.com/download/win2000platform/SP/SP3/NT5/EN-US/W2Ksp3.exe w wget http://download.microsoft.com/download/win2000platform/SP/SP3/NT5/EN-US/W2Ksp3.exe w cat /prooc/cpuinfo cat /proc/cpuinfo exotr wq w exit w ls passwd cd /var/tmp ls wget http://download.microsoft.com/download/win2000platform/SP/SP3/NT5/EN-US/W2Ksp3.exe ls tar xzvf IPmech.tgz rm -rf IPmech.tgz cd .aw s ls ./autorun chmod +x * ./autorun ./start TKLL ls rm -rf m.ses ps x kill -9 4350 ls ps x rm -rf m.ses kill -9 4460 ls ps x w ls nano 192.168.0.100.user2 rm -rf *seeN8 ls rm -rf *see* ls nano m.set rm -rf m.ses ps x kill -9 4582 ls ps x kill -9 4645 rm -rf m.ses ls ps x kill -9 4693 ls rm -rf m.ses ps x kill -9 4733 rm -rf m.ses ps x kill -9 4757 ls nano m.set rm -rf m.ses ps x kill -9 4800 we w ls ps x kill -9 4878 ls rm -rf m.ses ps x kill -9 4926 ls w ps x ls kill -9 4964 w exit w ls ps x cd /var/tmp w ls exit sudo su passwd ls ls -al ls .ssh/ rm id_dsa.pub touch .sudo_as_admin_successful sudo su passwd it is sudo su w echo "yay :D" > /dev/pts/9 echo "I take it it's working..." > /dev/pts/9 w echo "Is this annoying???" > /dev/pts/9 w exit 

具体问题：

• 横幅抓取DNS？
• 不断有人正在索引index.xml
• 对日志文件中具有不同域/ URL的网站的请求，黑客入侵企图？
• ISP是DNS劫持。 更新了Google到Google OpenDNS的DNS，但还是被劫持了
• 在oracle中归档日志备份

1. 什么是exotr？ 我无法find或find它，也没有人进入它
2. 什么是IPmech，谷歌search产生了一堆讨论陶瓷和陶瓷裂缝的东西。 IPMech似乎是机械学问题研究所，是俄罗斯科学院的一部分。 我不确定这是否合法。 另外我还不知道他们是如何进入账户的。 日志不够远，看不到对应于历史logging的login尝试。
3. 我已经完全删除了crontab（没有其他东西），并删除/var/tmp/.aw，并重新启动服务器。 我已经检查了任何有趣的运行过程，一切都看起来合法。 我已经改变了我的密码。 我是否也需要更换我的公钥？
4. 还有什么可以/我应该寻找帮助确定入侵机制？

谢谢