[vadblm]

Судя по приведенному сообщению, аппарат был выключен корректно. Ну а доступ для этого не обязательно был по ssh, мог быть получен root шелл при помощи эксплойта для какой-нибудь ещё службы, или добавлена соответствующая запись в крон, к примеру. Или банально кто-то на площадке подкинул клавиатуру и жмякнул три волшебные клавиши.

last, last -x и lastlog что-нибудь интересное показывают?

[jestersoft]

Не ничего. Ни кого чужого не было.