Избавление от трояна XOR.DDoS на Linux-сервере

На сервере (CentOS 6) периодически стали возникать перебои с сетью, большая часть пингов приходила с ошибкой. Кое-как соединился к серверу по ssh, краем глаза зацепил вывод ps и увидел, что на сервере запущены сторонние процессы.
Получив доступ к IPMI я начал разбираться с вирусом. Сразу скажу, что сервер был взломан, просто сбрутфорсили словарный пароль, который клиент не сменил, security.log тому подтверждение.

Сразу стал смотреть кроны:
# vim /etc/crontab
# тут я нашел интересную запись, которая запускает некий /etc/cron.hourly/gcc.sh каждые три минуты

Запись из крона удалил.

Посмотрел содержимое этого самого скрипта:
# cat /etc/cron.hourly/gcc.sh
for i in `cat /proc/net/dev|grep :|awk -F: {'print $1'}`; do ifconfig $i up& done
cp /lib/libudev.so /lib/libudev.so.6
/lib/libudev.so.6

Ищу подозрительные записи в кроне и удаляю их:
# tail /etc/cron.*/*

Обнуляю libudev.so:
# > /lib/libudev.so

Удаляю сам скрипт:
# rm /etc/cron.hourly/gcc.sh

Ищу подозрительные кроны:
# ls -lRt /etc/init.d/ | less
rtykqzfntq
ncalqyloch
...

Отключаю автозапуск и удаляю физически:
# chkconfig --del rtykqzfntq
# chkconfig --del ncalqyloch
# find /etc/init.d/ -name rtykqzfntq -print -delete
# find /etc/init.d/ -name ncalqyloch -print -delete

Также ищу в /usr/bin подозрительные записи:
# ls -tl /usr/bin | less
rtykqzfntq
ncalqyloch
...

Удаляю их:
# cd /usr/bin
# rm -f rtykqzfntq ncalqyloch

Вывод: нужно подбирать нормальные пароли.