[완료] 해킹을 당하였습니다.

서버호스팅을 받고 있는데
2주전쯤 비정상적인 트래픽이 발생하였다며 연락이 왔습니다.
확인해보니 /root/8081 바이너리 파일이 실행중이었고 8081포트가 열려있었으며, 무엇인가를 하고 있었습니다.
프로세서를 죽이고 그후 몇번의 이상 트레픽이 더 발생하던중 오늘 오전에
/var/tmp 폴더에 아래와 같은 파일들이 있었고
그중 x.c 파일은 Linux kernel 2.6.17 - 2.6.24.1 에서 root권한을 획득할수 있는 루트 익스플로잇이었습니다.
제 서버가 2.6.18 이라 root권한을 획득했을거라고 봅니다.
그런데 그 파일말고도 많은 파일들이 있는데 직접 코딩한것 같진 않고 알려진 해킹 소스를 사용한것 같습니다.
아래는 tar 로 tmp 하의 파일과 폴더를 압축한것을 복사해온것입니다.
아래 아이피가 몇개 나오는데 보안상. 116.123.158.109 는 저희 서버 아이피인데 임으로 변경한것입니다.
나머지 아이피는 있던 그대로 입니다.

제가 궁금한것은
아래에 있는 파일들이 도대체 어떤작동을 하는 알고 싶습니다.

필요하시다면 ci5ns@naver.com 로 메일주시면 파일들도 보내드리겠습니다.

조언부탁드립니다. 감사합니다.

== 아래 ==
[root@(none) tmp]# tar zcvf ../back.tar.gz ../tmp
tar: Removing leading `../' from member names
../tmp/
../tmp/dc.pl
../tmp/4877
../tmp/x.c
../tmp/dc.zip
../tmp/8081
../tmp/ .. /
../tmp/ .. /.tmp/
../tmp/ .. /.tmp/192.168.0.1.user3
../tmp/ .. /.tmp/157.100.186.42.user
../tmp/ .. /.tmp/inst
../tmp/ .. /.tmp/Kemsley.seen
../tmp/ .. /.tmp/bash
../tmp/ .. /.tmp/cri5tina.seen
../tmp/ .. /.tmp/italianul.seen
../tmp/ .. /.tmp/r/
../tmp/ .. /.tmp/r/rversions.e
../tmp/ .. /.tmp/r/rpickup.e
../tmp/ .. /.tmp/r/rnicks.e
../tmp/ .. /.tmp/r/raway.e
../tmp/ .. /.tmp/r/rsay.e
../tmp/ .. /.tmp/r/rkicks.e
../tmp/ .. /.tmp/r/rtsay.e
../tmp/ .. /.tmp/r/rinsult.e
../tmp/ .. /.tmp/r/rsignoff.e
../tmp/ .. /.tmp/m.help
../tmp/ .. /.tmp/192.168.0.1.user2
../tmp/ .. /.tmp/157.100.186.42.user3
../tmp/ .. /.tmp/116.123.158.109.user2
../tmp/ .. /.tmp/116.123.158.109.user
../tmp/ .. /.tmp/192.168.10.200.user3
../tmp/ .. /.tmp/Remak.seen
../tmp/ .. /.tmp/autorun
../tmp/ .. /.tmp/cron.d
../tmp/ .. /.tmp/116.123.158.109.user3
../tmp/ .. /.tmp/LinkEvents
../tmp/ .. /.tmp/Comstock.seen
../tmp/ .. /.tmp/Ng.seen
../tmp/ .. /.tmp/192.168.10.200.user
../tmp/ .. /.tmp/m.lev
../tmp/ .. /.tmp/direktory.seen
../tmp/ .. /.tmp/magnnum.seen
../tmp/ .. /.tmp/192.168.10.200.user2
../tmp/ .. /.tmp/xh
../tmp/ .. /.tmp/start
../tmp/ .. /.tmp/Hester.seen
../tmp/ .. /.tmp/run
../tmp/ .. /.tmp/m.ses
../tmp/ .. /.tmp/m.set
../tmp/ .. /.tmp/mech.dir
../tmp/ .. /.tmp/m.pid
../tmp/ .. /.tmp/192.168.0.1.user
../tmp/ .. /.tmp/157.100.186.42.user2
../tmp/ .. /.tmp/update
../tmp/ .. /.tmp/Edward.seen
../tmp/ .. /.tmp/vhosts
../tmp/x
../tmp/bind.tar.gz
../tmp/bind.tar.gz.1

== 아래2 ==
[root@(none) tmp]# ls -al /var/tmp
합계 136
drwxr-xr-x 3 nobody 4294967295 4096 Mar 24 07:40 ..
drwxrwxrwt 3 root root 4096 Apr 12 13:10 .
drwxr-xr-x 22 root root 4096 Apr 12 13:50 ..
-rwxr--r-- 1 nobody 4294967295 28304 Mar 23 19:45 4877
-rwxr-xr-x 1 nobody 4294967295 23472 Oct 17 2004 8081
-rw-r--r-- 1 nobody 4294967295 17528 Aug 19 2005 bind.tar.gz
-rw-r--r-- 1 nobody 4294967295 17528 Aug 19 2005 bind.tar.gz.1
-rw-r--r-- 1 nobody 4294967295 759 Feb 3 2006 dc.pl
-rw-r--r-- 1 nobody 4294967295 538 Feb 3 2006 dc.zip
-rwxr-xr-x 1 nobody 4294967295 12781 Mar 23 19:45 x
-rw-r--r-- 1 nobody 4294967295 6582 Feb 10 20:02 x.c