関連する実行可能ファイル名を持たないプロセスを診断するには？

私はCPUの100％を占めるプロセスでKVMベースのサーバーを実行しています。

これはhtopの出力です。

  PID USER      PRI  NI  VIRT   RES   SHR S CPU% MEM%   TIME+  Command                 
22230 adminx     20   0  185M  3468  1600 S 100.  0.5 72h45:33 apache 
22232 adminx     20   0  185M  3468  1600 R 100.  0.5 72h45:12 apache 
10660 root       20   0 26880  4680  3176 R  0.0  0.6  0:00.11 htop
 1061 root       20   0  276M  5796     0 S  0.0  0.8  0:05.59 /usr/lib/snapd/snapd 
 9529 root       20   0 92796  6916  5992 S  0.7  0.9  0:00.11 sshd: root@pts/3

プロセス名はapacheで、ユーザーはですadminx。システムにApache実行可能ファイルがあってはadminxいけません。

strace両方のPIDの出力は次のとおりです。

strace -p 22230

epoll_wait(7, [], 1024, 204)            = 0
epoll_wait(7, [], 1024, 34)             = 0
epoll_wait(7, [], 1024, 500)            = 0
epoll_wait(7, [], 1024, 465)            = 0
epoll_wait(7, [], 1024, 34)             = 0
......

strace -p 22232

sched_yield()                           = 0
sched_yield()                           = 0
sched_yield()                           = 0
sched_yield()                           = 0
sched_yield()                           = 0
......

プロセスがどのように開始されたのかわかりません。サーバーがハッキングされている可能性があります。プロセスを終了し、サーバーを再インストールする予定です。

これらの特性を考慮すると、その名前の実行可能ファイルがない場合にプロセスがどのように開始されるかをどのように追跡できますか？分析のために実行可能ファイルのメモリイメージをどのようにキャプチャし、そのメモリ割り当てを分析できますか？

PS。実行ファイル名が見つかりました。共有メモリにコピーされ削除されたようです。

adminx@gw06  ~  ls -l /proc/10160/exe
lrwxrwxrwx 1 adminx adminx 0 Jun  3 09:22 /proc/10160/exe -> /dev/shm/apache (deleted)