Я сейчас думаю сделать костыльное решение. Попробовать добавить в hosts адреса, откуда он скачивается... но офк это не круто
Смотри скрытые файлы в папке ( ls -lah postgres ) скорее всего исполняемые файлы кодированы в base64.
скрытые файлы .kpccv.sh и .wget-hsts. Посмотреть файл known-hosts в папке .ssh. И не нужно публиковать ссылки - достаточно "postgres malware hack 2ai0". Лучше конечно провести аудит системы возможно его поведение может изменится - по крайней мере по процессам видно.