自用开发服务器被黑了，怎么看黑客在我机器上做了什么？

是这样，我家里有一个自用的 INTEL NUC ，装了 Fedora 38,平时配置了 authorized_key ssh 上去开发用
用 Frp 映射了一个公网服务器端口，想着出门在外有事的时候可以连回来。另外我的 Root 密码比较简单。
今天 ssh 这台机器发现要密码，root 密码被修改。上一次连这台几器是昨天下午。
通过修改启动菜单找回密码后，没有发现占用 CPU 较高的进程，bash_history 被清空， .ssh/authorized_keys 文件被清空并设置了 immutable 属性.
/home 目录下新建了一个 tutu 文件夹，看了下没什么有价值的信息```-rw-r--r-- 1 root root 18 Feb 6 2023 .bash_logout-rw-r--r-- 1 root root 141 Feb 6 2023 .bash_profile-rw-r--r-- 1 root root 492 Feb 6 2023 .bashrc-rw-r--r-- 1 root root 299 Jan 21 2023 .zprofile-rw-r--r-- 1 root root 658 Jan 21 2023 .zshrc```另外还可以查看些什么被修改的地方？