Заказчик

C нашего сервера происходят исходящие атаки

Mar 30 01:14:53 www3 sshd[512]: Invalid user haoshuting from 193.164..**
Mar 30 01:14:53 www3 sshd[512]: pam_unix(sshd:auth(sad) authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=193.164..
Mar 30 01:14:56 www3 sshd[512]: Failed password for invalid user haoshuting from 193.164..** port 33626 ssh2
Mar 30 01:14:56 www3 sshd[512]: Received disconnect from 193.164..(moa) 11: Bye Bye [preauth]
Mar 30 01:18:23 www3 sshd[2615]: Invalid user hadoop from 193.164..
Mar 30 01:18:23 www3 sshd[2615]: pam_unix(sshd:auth(sad) authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=193.164..**
Mar 30 01:18:26 www3 sshd[2615]: Failed password for invalid user hadoop from 193.164.. port 35418 ssh2
Mar 30 01:18:26 www3 sshd[2615]: Received disconnect from 193.164..(moa) 11: Bye Bye [preauth]
Mar 30 01:21:14 www3 sshd[4328]: Invalid user hanul from 193.164.**.
Mar 30 01:21:14 www3 sshd[4328]: pam_unix(sshd:auth(sad) authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=193.164.*.

Сервер на VDS от таймвеба, там поднята Виртуальная машина BitrixVM.
Располагаются сайты на CMS Bitrix.

BitrixVM, Bitrix, Php, не обновлялись несколько лет, обновить нет возможности.

Зараженные файлы находятся в рутовой директория ~/.config***/, в директориях /tmp/** , в рутовом crontab-е

Чистка дает временный эффект.

Требуется понять и закрыть механизм заражения.

Наши предположения, что заражения происходят через уязвимости не обновлённого ПО.