Malware которая открывает порт на сервере

Зачем сканировать из вне?

ss -tan
ss -uan

По хорошему от таких паразитов должен firewall прикрывать.

Зачем сканировать из вне?

Потому что изнутри могут спрятать.

Так и снаружи могут. Пинг по портам и только тогда открывают.

Ни разу такого не видел. Хотя, конечно, и такое может быть.

Но вот всё было так

malware в основном устанавливает соединение с сервером самостоятельно

Или же malware в основном устанавливает соединение с сервером самостоятельно.

Если бы я писал малварь, я бы так и делал. Ибо в большинстве случаев хост находится за фаерволом