Если хост норм - там присутствует access.log. Смотри где есть много POST/GET запросов на один подозрительный файл.