>>101
/mnt/ext/opt/apps/backup.php が外部からHTTPで
NAS上の任意のコマンドを実行するためのコマンドのようだね

ということは/root/re.shがスナップショットを無効化するためのコマンドかな

/root/r.py も今回の攻撃に関係しているみたい