Ai đó khai thác xmr trên vps của tôi

tôi nhận thấy một lõi cpu sử dụng 100% tài nguyên nên đang chạy htop trình diễn, xmrig đang chạy mà tôi chưa bao giờ cài đặt.

và tôi có thể thấy nó đang chạy từ đường dẫn /tmp/xmrig-... và tôi đang chạy một trang wordpress ở đây trên openlitespeed.

vì vậy tôi nghi ngờ ai đó đã tải xmrig lên /tmp thư mục sử dụng hack wordpress (đây là nghi ngờ của tôi)

và tôi đã giết tiến trình và xóa thư mục khỏi /tmp

bây giờ sau vài giờ, tôi thấy thư mục quay lại và quá trình cũng đang chạy.

làm thế nào tôi có thể tìm thấy từ nơi bắt đầu quá trình? như từ cron hoặc một dịch vụ?

Chỉ để giải trí: nếu nó chạy từ một quy trình, tôi muốn thay đổi địa chỉ ví của hacker bằng địa chỉ của tôi và nó khai thác vào ví của tôi.

lưu ý nghiêm túc: làm thế nào tôi có thể tìm thêm thông tin về hacker và chỉ cần chặn cổng khai thác là đủ?

bất kỳ trợ giúp được đánh giá cao.

cảm ơn.