Aynı ip de bulunan diğer sitelerde benzer hadiseler yaşanmadıysa büyük oranla tema kaynaklıdır diye düşünüyorum. Ama sunucuya shell atmış bir kişi sadece bu siteye geçebilmiş bir amatör olabilir. Diğer siteler config şifrelerken bu site sahibi arkadaş bir güvenlik önlemi almadıysa config çekildiğinde yada dizin arası geçiş yapmaya çalıştığında tek ulaşabildiği bu web sitesi de olabilir. Bu da önemli bir detay gözden kaçırmayın. Adli bilişim raporu daha ayrıntılı olacaktır tabiki