si usas temas o plugins nulled al menos usa wordfence nulled XD, eso defiende los CMS contra los ataques de los hindis, muchos portales tienen infecciones, yo me fio solo de wplocker, el resto me da miedo, pero en general los compro de pillbanana o también de plugin themes.
Esos virus siempre se terminan alojando en todos los directorios, se replican asi mismos en otras carpetas, y les encanta estar ofuscados, revisa los archivos log, y también las fechas de modificación de los archivos si entras por FTP o por aa Panel.
Yo lo que hacia era borrar todos los plugins primero, y luego ir buscando folder por folder, la infección y borrar los archivos .php que veas sospechosos, tambien organiza los derechos de los archivos (CHMOD)