结论已确认存在root权限的恶意SOCKS5代理植入，并且检查期间仍在转发流量。与用户提供的案例及公开取证帖高度相似，还观察到相同代理客户端地址85.121.149.232。这些证据支持相关攻击活动或共享基础设施的判断，不能确认同一操作者，也不能证明具体服务商漏洞或密码泄露来源。本次仅调查和保全证据，未停止恶意服务