Eu não acho que seja possível para alguém aqui descobrir corretamente o que está errado com seu sistema, a menos que tenhamos acesso direto.
Você pode assumir que é um falso positivo e é isso que provavelmente é o caso. Na minha experiência, também tive o falso positivo, e depois de alguma investigação, confirmei para mim mesmo que, de fato, era um falso positivo. Alguns processos podem ser ocultados do comando ps por razões perfeitamente legítimas. E muitas vezes são de curta duração.
No entanto, se você quiser ter certeza de que poderia fazer algo como descrito abaixo. Eu entendo que é um pouco extremo e pode não se aplicar em sua situação, mas não posso ter certeza disso, essa é uma decisão que você precisa tomar.
Pessoalmente, tomo muita sabedoria sobre o que fazer em tal e em outras situações, a partir de Securing Debian Manual , especialmente no seu caso, verifique Capítulo 11 - Depois do compromisso
O conselho geral é desconectar o sistema comprometido da rede antes de mais nada, depois fazer o backup do sistema. Em seguida, execute mais investigações. Esta deve ser uma atividade separada e não precisa atrapalhar a restauração do sistema. Seria uma boa ideia tentar descobrir como foi comprometida.
Enquanto isso, limpe completamente o sistema, reinstale o sistema operacional de uma fonte de leitura não suspeita (por exemplo, um dvd) e restaure a partir do backup apenas os dados que você pode ter certeza de que não estão infectados. Se esses dados estiverem contidos nos repositórios, basta recuperá-los de lá, em vez do backup.
Suponha que quaisquer arquivos no sistema e seus backups sejam suspeitos e tente, tanto quanto possível, restaurá-lo sem copiar os arquivos do backup. Restaure os arquivos de configuração apenas repetindo o que você fez, copie e cole texto etc.