Может кто-нибудь определить, что за штука от хакеров досталась?

На вид это просто куча разных тулз, смотреть что делают бинари лениво.

Запускать пробовал

Надеюсь в чруте, или хотя бы непривелигерованным свежесозданным пользователем?

Нет, специально под рутом залогинился. :D

В чруте, само собой.

Ну, на лбу же не у всех написано, поэтому всегда лучше переспросить, чем недоспросить.

На вид это просто куча разных тулз, смотреть что делают бинари лениво.

Да не, смотреть не обязательно. Просто вдруг кто знаком. Интересно, это сам руткит, набор для его установки или что-то вообще левое...

Запускать пробовал, требует пароль, иначе угрожает rm -rf устроить.

Я думаю он блефует. Надевай покерфейс и жми Enter.

Ну я посмотрел.
Это просто набор разных тулз, может один из бинарей это сам руткит :)

Ну и проверь в чруте, отследи какие процессы создаст.

Это не SHV5, это я точно могу сказать.(что в архиве)
Остальное библиотеки и ссылки на машины с открытым phpmyadmin в мир, а также ip адреса по всей видимости уязвимого для брутфорса кажется французского провайдера. По бинарникам, мало, что могу сказать, не запуская тем более даже, но предполагаю, что это либо брутфорсилка phpmyadmin, либо чекалка уже взломанных тачек. В файлах .payload код в base64 можно посмотреть скажем здесь:
http://www.opinionatedgeek.com/dotnet/tools/base64decode/
В info.payload например: echo «st4r7».php_uname().«7h33nd»; - что очень напоминает логин и пароль. Да еще на тачке франзузкого провайдера по всей видимости php shell, ну не мудрено когда даже mysql смотрит в мир.