Взломали сайт, что можно сделать?

с друпалом не работал, но думаю что стандартное решение - нестандартный адрес админки,дополнительная защита админки через htaccess, сложный пароль и логин нестандартный сделают свое дело. При таком контенте как у вас проще все снести и заново поставить учитываю ошибки предыдущей установки

Если сервер - дедик или впн, то я бы вообще рассмотрел вопрос переустановки оси. Так как неизвестно, что именно внедрили на сервак атакующие. Хорошо, если только PHP-код; а не могли ли они пройти еще дальше? Если есть дыра в безопасности - а друпал сам по себе хороший CMS, его взлом - это в первую очередь неверные настройки, то есть как раз дыры - то может быть проще создать с нуля и на этот раз правильно, а не латать.