Kurduğunuz eklentilerden veya sunucudaki sitelerden birine r57 veya c99 gibi shell atılmış ve ordan ekleniyor olabilir.