libprocesshider.so instalado e adicionado a /etc/ld.so.preload

Posso rastrear todos os processos ocultos que foram executados com o módulo libprocesshider?

Não. Por que aquela porta dos fundos, de todas as coisas, manteria um log?

Como posso rastrear os danos causados ​​em meus servidores?

Não.

Procurei em journalctl, /var/log/secure e history, mas não consegui encontrar nenhum traço de ataque.

Bem, quando você se esforça para ocultar processos, por que registrar suas atividades? Seu servidor provavelmente foi usado como parte de um botnet para atacar pessoas para extorquir resgate, enviar e-mails de spam, minerar criptomoedas ou hospedar partes de conteúdo altamente ilegal. Ou foi para roubar seus dados ou de seus usuários.

A sessão que instalou libprocesshider.so ainda está ativa. Acho que a sessão foi sequestrada/roubada de um usuário remoto legítimo. Como a pessoa não está conectada ao servidor bastion. Devo encerrar a sessão o mais rápido possível ou posso rastrear algumas informações dela?

Errar. Parece uma pergunta com uma resposta óbvia. Sim, elimine a sessão, remova o usuário, diga a todos os seus outros usuários que os dados que eles colocaram em ou através do seu servidor provavelmente foram comprometidos. Informe seus clientes; dependendo de onde você está e do que faz, você também pode ser legalmente obrigado a informar os órgãos oficiais de segurança cibernética responsáveis ​​sobre o que aconteceu. Também:

Você deveria ter desligado aquele servidor no momento em que soube da exploração.

O que exatamente você está fazendo ao deixar seu servidor rodar se você não pode saber o que seu servidor está realmente fazendo? Pelo que sabemos, você está se responsabilizando criminalmente por permitir que um criminoso detectado opere em sua infraestrutura.

Existe uma chance de que o libprocesshider.so tenha sido instalado automaticamente por um aplicativo não-malware?

não.