1. Можете сбросить пароль администратора в бд на admin для начала, нужно на локальном хосте создать пустой опенкарт, и из бд ' . DB_PREFIX . '_user скопировать password и salt, тем самим вы получите пароль.
Вот например:
password: (пароль)
0fac28a59295dc7398cd42e8add4e76697286d69
salt: (соль)
YlhrKysko
Удалить весь вредоносный код, шеллы, я думаю знаете как, если удалили из front-end. Также используйте сканер типа Ai-Bolit, VirusDie, Manul для проверки, новачкам помогает, ищите точку проникновение (уязвимость) через логи сервера, дабы не допустить ище раз такое.
Или как сказал, Zhezkazganetcs откатить сайт до работоспособности и дальше ищите "точку возможного повторного проникновение" (уязвимость)