Скорее всего посмотрел по логам на сервере. Какие файлы менялись. Если есть доступ к SSH то можно удалять все свои действия в логах!