Esta é uma tentativa de hacking?
Sim.
E se sim, como é que o hacker (humano ou bot) sabe imediatamente onde está o meu servidor e quando entrou online?
Você acertou na cabeça, você está online . Apenas o ato de estar on-line expõe você a ser verificado quanto a vulnerabilidades. Eles não conhecem você ou colocaram um servidor. Eles conhecem os intervalos de endereços que estão sendo usados pelos servidores e examinam ativamente esses endereços em busca de vulnerabilidades.
Eles estão verificando vulnerabilidades do phpMyAdmin ou apenas para fazer uma simples invasão de login antiga pelo acesso do phpMyAdmin ou MySQL.
Esta é uma razão pela qual você executa o phpMyAdmin por trás do cPanel e outra razão pela qual você executa o MySQL como localhost e não o expõe para abrir o acesso à web.
Ambos podem ser usados para esconder seus bancos de dados, desde a inserção de iframes até o roubo de dados.
Só porque o endereço vem do SoftLayer (o SoftLayer é uma das maiores operações de farm de servidores do planeta) não significa muito, exceto que o ataque está sendo retransmitido de um servidor comprometido que ele hospeda.
Cada servidor lá fora na net vê isso. Se eles são muito persistentes, uma maneira de lidar com isso é pegar uma correspondência comum nos pedidos e adicioná-la ao seu .htaccess com mod_alias e uma linha RedirectMatch.
E, no momento, você deve estar vendo muitas tentativas de crack do wp-admin e do fckeditor para a última vulnerabilidade de trackback do WordPress também.