Давно был взломан сайт… (стояла старая версия modx)…

Вчера я почистил все файлы php, но посмотрев в файлы JS ужаснулся… Админка не работала итд… Поставил поверх новую версию modx (advanced) Админка заработала, но если удалить дополнение и заного его установить, то все равно он появляется с вирусом внутри… вопрос таков: откуда берутся эти сборки? с онлайн хранилища или они где то лежат на фтп и они уже все заражены или их тут же заражает при установке?