Как могли взломать сайт?
Измененные и запущенные файлы - это уже следствие, когда хакер получил доступ. Это уже никому не интересно.
А причину надо искать в другом. Обычно вирус на вашем компе (и кража пароля от ftp), перехват пароля (например, если ftp, а не sftp с публичными/приватными ключами), подбор пароля, SQL-инъекция, отсутствие валидации вводимых данных и загружаемых файлов, неправильная настройка веб-сервера и пр.
Самые частые варианты:
1. Украдены логин/пароль из FTP-клиента/из браузера, затем прямой доступ использовали для изменения кода
2. Заливка шелла на сайт через формы с недостаточной фильтрацией
3. Заражённый модуль/обновление
4. Другие уязвимости сайта (например, SQL-инъекция)