Sunucuya girdikten sonra index.php yi editlemiştir diyecem admin paneline ulaşmadan olmaz.O zaman bu adam ya cracker kullandı şifreleri tek tek kırmak için ya da ortak bir sql injection açığı var.

temayı değiştirme işlemini yapmak için diğer temayı bozmuş olması,Sonrada default temaya geçen sitenin indexini değiştirmeside olası ama admıin şifresi cevapsız kalıyor.

Ftp loglarına bakın,Adam ftp ye ulaşmamışsa sunucunuzda 1 adet en kralından shell var.Sitelerinizi ve diğer siteleri kontrol edin.Tekrar hack yemeyin.