Подскажите, как такое может быть ?

Добрый день, постараюсь описать суть 4-х вопросов как могу короче.

1). Злоумышленник, скорее всего имея доступ (без него ведь никак...) вносил изменения на сайте. Вставил внизу индексного файла ссылку на свой ресурс и скрыл её дивом. По кэшу яндекса в исходном коде видно, что "вчера" и до "вчера" её не было, а "сегодня" есть. Наличие её по факту на хостинге в файле видно. НО !!! дата сохранения файла полугодичной давности, а ссылка на ресурс которому 1 мес. Т.е. он произвел внедрение "сегодня", а полугодичной давности дата сохранения файла не изменилась. Как такое возможно ?

2). Добавил его в htaccess, но на след. день по логам его опять видно ...

правилен ли запрет (имеется ввиду очередность запрета ip-адресов) в htaccess ?:

Order Allow,Deny

Allow from All

Deny from 000.00.000.000

Deny from 11.111.111.11

Deny from 22.222.222.222

Deny from 33.33.33.33

ip злоумышленника во 2 строке... (для форума айпи изменен)

3). и если у него есть доступ к сайту, то запрет айпи на него не действует ?

4). В логах видно посещенные страницы. Можно ли определить был просмотр страницы или закачка в файл (или подобное действие-манипуляция), ведь глядя на вопрос №1). в фтп клиенте на хостинге дата файла не изменилась а содержание изменилось - закачка ссылки ведь была...

Конечно можно и нужно изменить пароли фтп,ссш,мусикл... но я их менял и после этого был опять "взлом-вход с добавлением кода".

Можно предположить что у злоумышленника есть (был) доступ к моей почте с новыми паролями - что мало вероятно. Может он через пхпмуадмин внес изменения в файле-странице, а дата не изменилась ? такое может быть ???