Заколебали подсаживать малварь на сервер. Как отловить точку входа?
обычно фтп или ssh, вы пароли эти поменяли? если нет то меняйте.
Если где то дыра в коде, то тоже просто решается задача выставлением необходимых прав на файлы и директории, в php никто не сможет написать, а аплоуд нового файла легко отследить.
Читайте логи, они рулез. И не только Web-сервера. Мне однажды в /var/log/messages (если мне память не изменяет) попались сообщения от wget, который запускали для заливки файла. По времени потом прошерстил access.log и нашёл URI скрипта, в который заранее подставили бяку.