Não, não há provas de que o invasor tenha acesso ao seu sistema.
Vamos passar pelas entradas de registro relevantes:
new group: name=guest-slrfad, GID=999
new user: name=guest-slrfad, UID=999, GID=999, home=/tmp/guest-slrfad, shell=/bin/bash
Successful su for guest-slrfad by root
+ ??? root:guest-slrfad
session opened for user guest-slrfad by (uid=0)
New session c3 of user guest-slrfad.
[more "session opened/closed" messages]
O atacante não está criando esta conta; o sistema é. O invasor está apenas efetuando login em uma sessão de convidado, e você não pode fazer nada ao sistema em uma sessão de convidado (você nem tem um diretório pessoal no disco rígido; você tem apenas um temporário na RAM que é removido). quando você sair dele).
session opened for user root by (uid=1001)
Executing command [USER=root] [TTY=unknown] [CWD=/home/sachithra] [COMMAND=/usr/lib/update-notifier/package-system-locked]
Novamente, isso é normal e está sendo feito pelo sistema, não pelo invasor.
CRON[13099]: pam_unix(cron:session): session opened for user root by (uid=0)
CRON[13099]: pam_unix(cron:session): session closed for user root
CRON[13203]: pam_unix(cron:session): session opened for user root by (uid=0)
CRON[13203]: pam_unix(cron:session): session closed for user root
Isso também é normal; o sistema está apenas fazendo tarefas rotineiras. Isso não tem nada a ver com a sessão de convidados.
E tudo mais depois das 16h35. Portanto, não há provas de que o atacante tenha feito alguma coisa no seu sistema.