htaccess просто не везде работает. Ну и в добавок вы смотрели содержимое картинки при ответе сервера, может просто вывод внутри? Это происходит когда контент отдается с явным указанием майм типа.

ps прятать бэкдор в картинке, это же модно было лет 10 назад