1. Для восстановления к предыдущему состоянию восстановить из последнего бэкапа. Можно сравнить по файлам, увидите куда именно и что напихали, по временным меткам можно понять с какого файла началось, что бы возможно найти дыру.
2. Сменить и перепроверить доступы на FTP, аккаунт хостера и т.п.
3. Провести расследование на предмет того как был взломан сайт. Логи в помощь - смотрим дату первого файла, и в этот период и ранее смотрим логи сервера, и вообще какие найдете. Ищете странные запросы. По ним можно определить каким образом ломанули, и понять была ли это веерная атака или бэкдор. Анализируем что же собсно делал этот код - продавал ссылки, или же проксировал команды C&C для какого нибуть ботнета... Тоже поможет...
4. обновить все до последних версий. Если у Вас стоит какой то древний движок или модуль двухлетней давности, то дыр в нем куча, и проще обновить его, чем искать все и латать.
5. Проверяем настройки хостинга и права доступа на папки, может банально гдето 777 стоит :)
6. Проверяем на варез, что откуда ставили, кто что пилил, насколько дружили с теми кто пилил магазин - могли бэкдоров наставить заранее...