Você pode enviá-lo para um site como o virustotal.com para analisá-lo.
A respeito de como ele chegou lá, você deve verificar os logs, usar o comando history para pesquisar o histórico de comandos executados por usuário, verificar se não há novos trabalhos de crontab, etc.
Se for uma opção, eu descartaria a VM se for uma VM ou faria uma reinstalação para garantir que ela esteja limpa. Depende do que o servidor armazena e do que sua empresa exige.