Сайт взломан ?

Возможно и в безопасности, если только 1 шелл залит был ))

Все-таки оказался в папке плагинов. Скорее всего залили после брута простого пароля.

Попробуйте проверить остальные файлы по дате создания. Хоть здесь и говорилось, что вирь может и не изменить дату, но у вас случай с залитым шеллом. Вот и проверяйте файлы на эту дату и более поздние.

В тотал коммандере можно проверить все файлы на содержание таких команд: eval, base64, iframe. Файлы с этими командами не обязательно сразу вредоносные, но по этим командам можно спалить заразу.

Также меняйте пасс и проверяйте другие свои сайты на том же хостинге. Через "соседей" зараза распространяется дальше.

Если за неделю никаких тревожных симптомов не обнаружится, скорее всего заразу убили.