Как очистить Wordpress от злоумышленников?
 Определите точку взлома. Постарайтесь локализовать причину взлома, определив примерное время взлома и читайте логи. Установите новую версию рядом из сохраненных бекапов, просканируйте на наличие malaware например с помощью онлайн сервисов https://wpscans.com/ или offline типа дистриба kali linux  Смените все пароли в БД , в частности для доступа к самой БД Посмотрите список юзеров в WP  Настройте корректные права на доступ к файлам и директориям Проверьте движок и плагины на возможность обновления Включите на веб сервере расширенное логирование  Сделайте бекап текущей версии Замените взломанную версию на новую 
Если взломы повторятся, то восстановите сайт из свежесделанного бекапа и попробуйте отключать плагины по одному, самая часа причина взломов - это плагины, которые не обновляются , а их уже давно взломали.
P.S.: Как выше написали - так же стоит закрыть админку, я бы еще добавил блокировку при вводе нескольких не верных паролей с помощью fail2ban.
Shell словили. Просканируйте площадку вот этим https://revisium.com/ai/ , удалите шелы.
Закройте админку базовой авторизацией через htaccess, если у Вас appache (придется два раза вводить пароль в админку, зато наверняка).