centos8 系统中了木马挖矿程序，请问如何溯源？

在阿里云上买了一台centos8的服务器， 部署了redis、pgsql012 数据库， 服务器通过nat网关做了一个snat 可以上网，但是没有做dnat， 也就没有对外提供端口访问策略。 但是安全中心突然报警显示这台服务器有挖矿的木马程序，经过简单的查杀， 已经简单的把异常文件给kill掉了，系统也恢复了正常， 检查发现在postgress 这个用户的家目录中有两个恶意脚本文件， 我想不理解的，虽然的主机有上网能力，但是数据