В двух словах: чувак с помощью Heartbleed скачал дамп, когда был авторизован админ. Залез, нашел учетки Автоваза не удаленные (sic!), через простой файл-менеджер залил WSO2.5. Профит. Скрипт-кидди, ни дать ни взять.