odmin4eg

стандартная ситуация, как пишут выше, протроянен комп с которого хоть раз заходили на сайт.

троянцы давно умеют собирать пароли с «фар» «тотал коммандера» и прочих популярных программ.

меняйте пароли следите за попытками входа, ограничте входящие айпи на фтп

я полностью отказался от ftp в пользу sftp
Каждый пользователь в своём каталоге, в этот каталог вэбсервер и логи, вебсервер работает от учётки пользователя