Provavelmente com WordPress ou Drupal desatualizados. Esse vídeo abaixo fala sobre a maneira como invadem sites...

https://www.youtube.com/watch?v=_0w3DRG_l8M

Vídeo muitoo útil! parabéns! Um adendo: provavelmente eles devem estar usando VMS das Clouds famosas, as que tem as CVES mais exploradas... e provavelmente ele deve estar usando um script automático para invadir tantos sites assim... em fim... Com python, tudo fica fácil hoje em dia