Сами вредоносы не пишут, ибо ввиду ограничений безопасности друпала это не имеет смысла, и обычно невозможно, однако, сами хакеры иногда анализируют систему для того, чтобы использовать её в своих целях, кроме того, бывает взлом через FTP/SSH/и т.д.(при том, украсть первый особой сложности не составляет, а в случае, если каким-то образом сперли рута(SSH), то там уже не сайт надо спасать..., хотя мне такое, тфу тфу тфу, не попадалось при том, что мне не однократно давали доступ к серверу через SSH с логином root и без какой-либо защиты от брута, и так работает 80% VPS, а потом народ на форумах жалуется, что мол взломали VPS и во всем виноват хостинг...), но это скорее исключения, чем правило, однако, лично я всегда перестраховываюсь.

На тему jpg да и прочего хлама - для самого сайта, при нормальной его работе, угрозы не представляет, и если сайт настроен верно, то php там не выполнится, а все остальное обычно действует на клиента(для винды обычно сразу заражение, а для андроида, как правило, просят поставить некое приложение с преферансом и дамами, остальным вроде бы с высокой колокольни), за что хостинг сам закроет доступ к сайту, и вернет его, только в случае устранения проблемы. Вдобавок вредоносный код, именно клиента, обычно заливают специально, соответственно, стараются как можно глубже внедриться в систему, иначе он попросту не будет работать, потому см параграф выше.