Umm ... suponiendo que tienes windows :

1)Hace un netstat -ano , te dira los puertos abiertos , los que estan a la escucha y los que tienen una conexion. Ademas tambien el nombre del proceso q genera esa conexion.(No sirve de nada esto , si tienes un rootkit, pero supongo que se trata de un scriptkiddie)

2)Si hay algun proceso raro , desconecta internet. Luego haz un taskkill al pid q obtuvistes con el netstat. Fijate en los servicios si no hay nada raro.

3)Si supones que te ingreso al router , cambia la password del router. Fijate los dns a donde apuntan por si las moscas(Pueden apuntar a un dns fake para sacarte datos)

4)Si no hay ningun proceso raro , puede  q tengas rootkit , pasa un anti rootkit y vuelve al paso 1. No creo q seas victima de un rootkit nivel bios ni nada por el estilo , asiq esto te salvara.

5)Puede que haya dejado un backdoor de tipo servicio o simplemente propagandose en otro archivo.Pasa un anti virus.

6)Bajate el wireshark y ponete a sniffear los paquetes q salen de tu compu y entran , cpz encontras algo.


Fijate si no te ha dicho que ingreses a alguna web o q bajes algo. Tenes router , realiza una conexion inversa, ya que el router bloquea lo entrante , a menos que tengas esos puertos abiertos. Revisa puertos abiertos en el router.
Nose que router tenes , pero se deberia poder conectarse a el. Te conectas y desactivas el webserver y listo. Y lo administras vos via ssh.

Fijate los logs del webserver , seguramente estara su ip. Denuncialo y listo.

Bueno, hay millones de cosas q puedes hacer , pero creo q esto basta para tu problema. Por las caracteristicas del atacante (Avisa cuando ataca y amenaza),no tiene muchos conocimientos.