Kurduğunuz eklentilerden veya sunucudaki sitelerden birine r57 veya c99 gibi shell atılmış ve ordan ekleniyor olabilir.
Aynen Beyaz' ın dediği gibi hostunu iyi takip et biri shell atmıştır tüm klasörlere bak bir php dosyasıdır. Daha sonra tüm ftp şifrelerini değiştir.