Снимок файлов снимают после установки — и он хорош ровно до тех пор, пока сайт не принесли уже с гостинцем внутри: чужой файл лежит в снимке как свой.
Поэтому рядом появился осмотр по приметам. В коде движка он ищет приёмы, которыми прячут запуск чужого: строку, раскодированную на лету и выполненную как код; вызов оболочки с тем, что пришло из запроса; имя функции, склеенное по буквам, чтобы его не нашли поиском. В честном коде движка таких приёмов нет ни одного — ровно поэтому по ним и ищем.
В папке загрузок приметы не нужны: запускаемому коду там не место вовсе, и PHP-файл среди картинок — уже находка.
Осмотр ничего не лечит и не трогает. Он показывает, где посмотреть, и объясняет, что именно смутило. И честно говорит, что находка — не приговор: приметы грубые и ловят привычки, а не вирус.