我也遇到过类似入侵，记得当时服务器上也发现了伪装成系统进程的 socks 服务，后来禁用密码登录才解决问题。