Öncelikle geçmiş olsun diyerek konuya başlamak istiyorum.

Siteye legal olmayan şekilde erişim sağlamışlar ve shell yüklemesi yapmışlar. Fakat sunucu çalıştırmamış (yükleyen becerememiş işi diyelim) sonrasında bir tane dosya yöneticisi ile işi çözmüş. Tahminime göre sitenin de yedeğini aldığını düşünüyorum kendisi için almadıysa yakında legal olmayan yerlerde dağıtılacağı kanaatindeyim.
Upload koruması ekleyin(yüklenen uzantı ve uzantı öncesi kontroller) ayrıca eğer resim harici php dosya yükleniyorsa otomatik olarak text dosyasına çevirsin bunu da ekeleyebilirsin upload dosyası içeriğine, buna ek olarak yüklenen dosya adlarını rastgele adlandırma yaparsan daha sağlıklı olur . Şimdilik benim gördüklerim ve önereceklerim bunlar, düzenlersen senin yararına olur.

admin/uploads dizinini ve içindeki dosyaları incele. ayrıca .htacces ile dizine koruma ekle ya da en azından hotlink koruması koy dizinlere.

@HasanPakac; ⚠️⚠️