find /def ...... <-- 사용법을 아신다면 ... 간단 하지 않을까요.
 개인 적인 견해 입니다.
일단 서버에서 없던 화일이 존재 한다면 의심을 해야 겠지요.
더더욱 system 관련은 더욱더 그렇지 않을까요..
님의 경우 제가 알고 있는경우라면..이미 포토스캔을 지나서 뚫리지 않았나 싶내요..
백도어를 찾는것도 중요 하지만 뚫리기 이전에 막는 노력도 중요 하지요..
님의 경우 무척이나 세심하게  log 화일 전부를 비교 검토 하여야 하지 않을까 하는 생각 
입니다. 가능 하다면 data및 중요 설정화일을 백업후 재 인스톨을 권해 드리고 싶구요.
 참고 삼아 제 경우에는 (예전에 핵킹을 당했을시..)
passwd 화일을 백업본을 글대로 사용 햇더니 바로 다시 뚫리더군요..
 그럼.. 참고가 되셨기를.
 : 오늘 아침에 와서 보니 새벽 4시부터 계속 5분간격으로
: 서버가 재부팅하고 있네여 --;
: 해킹된거 같은데 어떻게 해야 되죠?
:
: last 를 해봐도 침입한 흔적은 없는데....
: 자세히 좀 가르쳐 주세여.....
:
: 그리고 find /dev -type f 를 해보았더니
: dev/.shit/lib...
: dev/.shit/lib.....
: 이렇게 20개정도 화일이 나오더라구요..
: 그래서 rm -r .shit을 해서 화일들을 모조리 지웠거든요?
: 근데 그래도 서버가 재부팅하고 있네요 --;
:
: 도와주세요.....--김성택.