Da quello che ho visto assieme a Zalexo hanno eseguito un defacement, riscrivendo le pagine index.php e global.php con un redirect verso il sito del simpatico lamer.
Credo, però, che sia piuttosto improbabile che si sia impadronito dei DNS, come dimostrato dal ping.
Il fatto, comunque, è che il tizio è piuttosto bravo: nonostante il cambio di pass dell'ftp, riesce sempre a bucare il sito.
A questo punto, a meno di elementi soprannaturali, le cause non possono essere molte:
1)una backdoor da qualche parte nel server (facilmente verificabile dai log)
2)una backdoor da qualche parte nel backup (facilmente verificabile dai log)
3)sniff della password ftp in qualche maniera (zalexo, non è che hai un trojan nel pc?)
4)sql injection su qualche componente.
Io farei così: reinstallerei il backup e il db, chiuderei permessi su file e cartelle e starei un attimo a vedere cosa accade.
Se il tizio lo viola di nuovo allora non c'è altra storia che armarsi di pazienza e leggere i log. Punto.
