[Luvilla]

там и вправду демон сидит

а теперь начинается самое интересное: ищите, через что хакер получил доступ к перезаписи файла
это либо уязвимость движка/хаков; либо влезли через сервер
начните с поиска шеллов