Bugün bir script yüklemiştim o scriptten veya bir wp temada shell vardı diye tahmin ediyorum.
Daha sonra o shell den diğer sitelere de erişmişler.