Bonjour,
Il semble bien qu'il s’agisse de cela :
http://news.drweb.com/show/?i=5801&lng=en . Il y a de très nombreuses ressources sur le web sur ce Troyen connu depuis février 2014. Il y a même un outil pour surveiller l’activité du Botnet résultant :
https://github.com/ValdikSS/billgates-botnet-tracker
Des diverses informations disponibles, il ressort que ce Troyen est installé manuellement sur des machines dont le compte root est accessible par SSH avec un mot de passe faible (un mélange de chiffres et de lettres n'est pas un critère de fiabilité pour un mot de passe)
Il faudrait examiner les logs, notamment auth.log mais je suppose que s'il s'agit d'une attaque manuelle, les traces ont été effacés.
Quant au serveur, le mieux est de réinstaller complètement et de bloquer l'accès SSH à l'utilisateur root ou de l'autoriser que par clé.
