В комментариях задали справедливый вопрос - а ради чего боты (а в подавляющем большинстве этим занимаются именно автоматические скрипты) сканируют SSH-порты серверов? И хотя долгосрочные планы у разных атакующих могут быть разными, за сутки я уже собрал приличный урожай логов, из которых можно судить о конкретных действиях, стоит сканеру подобрать пароль:
1) Начальный сбор информации (скрины 1-4). Инфа о системе, железе, установленном и запущенном софте - всё, что может как-то свидетельствовать о возможной пользе уязвимого хоста. На скрине 3, кстати, сканер перепутал ханипот с микротиком (или, скорее, действует "на авось")
2) Закрепление (скрины 5-7). Обычно это заключается в попытке добавить свой SSH-ключ, очевидно, для беспрепятственного логина позже
3) Ботнет/малварь. Относительно остальных редкий, но тем не менее в целом очень распространённый вид деятельности - это заражение серверов вредоносами. Мне пока попадались майнеры, а также (неудивительно) ботнет Mirai (скрин 8).