Взлом хостинга??

rammlied, тогда Вам проще найти специалиста по подобным делам, чтобы он всё просмотрел!

маловероятно, так как шелы чаще всего ставят боты, тут же скорее всего банальный увод ФТП паролей или (и) перехват сессий ФТП, проверяйте Ваш ПК на наличие вирусов (троянов и прочее)

п.с. повторюсь, точную причину можно определить только после проверки логов (ФТП и апача) так, как я описал ранее.

Если обновили движок и все плагины до последних версий, то ищите шелл. Скачайте архив файлов, поудаляйте все картинки из архива, что бы он весил поменьше и засуньте его на проверку сюда http://virusscan.jotti.org/ru

не факт что найдется шелл даже 20 антивирусами, буквально 3 дня назад пришлось шелл вручную искать, а антивирусы его не ловили, но он был🍿

Еще как вариант скачать архив файлов и поискать слова тотал коммандером в тексте файлов по очереди:

shell

eval

root

ну и другие подобные.

2 TheJetHost.com

и чем ТС поможет это? нужно понять причину (чего нельзя сделать без аудита логов), гадать на кофейной гуще (шелл, не шелл) можно до бесконечности, уверен на 80% минимум, что в данном случае источник проблемы - ПК ТС (а если это так, можно хоть 100 раз удалять установленные шелы, они всё равно снова будут появляться)

hostplus.ws, если пароли от ftp изменены и на ПК они не хранятся, а также весь софт и плагины обновлены до последней версии, но сайт снова взламывается, то это только через загруженный шелл (тут дырявость сервера не берется в расчет, т.к. ТС здесь ничего не сделает), поэтому шелл надо искать. А в логах еще соображать надо что ищешь, например POST запрос к какому-нибудь файлу для ТС мало чего скажет.

гадание на кофейной гуще начинает прогрессировать :) ибо:

1) ТС не упоминал ничего о том, что он обновлял ядро CMS и (или) дополнения

2) ТС зато упоминал о самописных дополнениях и (или) вставках в код существующих частей CMS

3) ТС не упоминал о том, какие действия он делал (или) не делал на своём ПК (хранит он или нет пароли и если хранит то в каком именно ПО, проверял он или нет свой ПК на наличие вредоносного ПО и если проверял, то используя какое именно ПО)

4) трояны и другие типы вредоносного ПО могут не только копировать данные из тотал коммандера, но ещё и множество других действий, при которых могут быть перехвачены данные авторизации (включая клавиатурных шпионов, сниферов и прочего)

5) не думаю, что научится читать логи (а по сути искать совпадения по заранее известным критериям) сложнее, чем писать дополнения к CMS (что видимо ТС умеет), но опять же это очередное предположение

итог:

ТС нужно или копать (изучать) в сторону умения читать логи ФТП и веб демонов или нанять стороннего аудитора используемых им скриптов + провести аудит безопасности своего ПК

1) После второго раза обновил движек и плагины, так что посмотрим.

2) не знаю что Вы имели ввиду, я просто хотел акцентировать то что если это дырявый движек то странно что гадость появляется именно в моей папке а не в какой нибудь папке движка

3)пароли нигде не храню, с фтп работаю через Filezilla, недавно установил тотал командер, но использовал его только для того чтобы делать поиск по файлам на локальном компе (тоесть там никаких паролей не вводил)

4) с этим конечно проблема потому что никогда не использовал антивиры ибо никогда не видел в них толку

5) вот как раз думаю посмотреть логи, но тут нужна помощь, где их можно найти (на хостинге используется cPanel)

Если Вы внимательно перечитаете тему, то найдёте упоминание о том, что дело скорей не в самой CMS, а в том, какие дополнения используются (Ваш самописнй код тоже к таковым относится)

что в очередной раз только доказывает верное направление поисков причины, предположенный мною, правда теперь я бы поднял процент вероятности до 90-95%

в директории access-logs (доступа через FTP или в самой cPanel)

блин, опять появилась эта гадость на другом сайте, на нем также используется самописная вставка, но вордпресса там нет.

У папки, в которой появляются файлы, права 755, означает ли это то что записать туда можно только зайдя на ФТП?

Поставил на комп касперского, просканил, ничего подозрительного не нашел.

Не значит. Это значит, что запись туда может производить только владелец. (т.е. ваш сайт, ftp и т.п.).