Мой внутренний сервер взломали из Китая, положив в крон запуск майнера. Больше ничего не тронули.

Взлом удался из-за 50-cloud-init.conf в котором было PasswordAuthentication yes. Ну и пароль password тоже помог.

Выяснил это потому, что они запуск распаковки майнера положили в .bash_profile и из-за этого стал игнорироваться .bashrc в котором было cd ~/vmist-server. Не увидел привычной папочки - сразу прищурился.

Позакрывал всё к херам. Я этот сервер в попыхах настраивал когда прошлый подох, если что откатить его дело на полчаса возни, но всё равно такие дыры оставлять не стоит.