FTP programı ile değilde Hostinginizin Dosya Yöneticisi üzerinden girin.
Ya websitenizdeki açıktan kaynaklı yada sunucu taraflı açıktan başka lokasyondan sizin dizinizde yazma izni oldugundan oraya koymuş, yada serverdaki diger lokasyondaki dosyaları silinirse diye yedek koymuş olabilir.
mail.php adı üstünde belli spam için kullanmıştır da diğerlerinden biride shell dir büyük olasılıkla, ÖNEMLİ OLAN dosyaların oluşturma tarihi!! Hangi tarihte oluşturulmuşsa o tarihte değişikliğe uğrayan klasörleri incelemelisiniz.
Artık onuda çözüyorlar shell tarama yazılımlarına takılmasın diye dosya düzenleme tarihi 1985 olan dosyalar gördüm
Ama yinede sizin söylediğiniz gibi ilk bakılması gereken dosyanın son düzenleme tarihi.