Вирус на WP меняет пароль админу постоянно, что делать? ничего не помогает?
1. Остановить веб-сервер и перезагрузить хост
2. Изолировать хост от доступа извне, перенастроить файрволл для ограничения выхода сервера в интернет (обратный шелл - гадость, которую надо ловить отдельно)
3. Обновить wordpress на свежую версию, сохранив старый каталог в месте, недоступном для веб-сервера
4. Создать новую базу для wordpress, сменить пароль админа и пароль доступа к БД
5. Просмотреть changelog wordpress'a в поисках багфиксов, через которые возможен взлом сайта
6. Просмотреть старый каталог wordpress в поисках залитого шелла, при обнаружении проанализировать, включая путь, которым он туда попал
7. Ограничить доступ к админке wordpress средствами веб-сервера (IP, авторизация логин-пароль внутри сервера (не вордпрессная!), ещё что-нибудь, что умеете)
8. Настроить аудит доступа к админке и fail2ban на его основе, чтобы отсечь ломающего ваш сервер
9. Создать бэкап системы для обеспечения отката на состояние "купированная атака"
10. Включить новый wordpress, проверить ваш доступ к нему, проверить (ожиданием и анализом логов) наличие попыток взлома
11. В случае, если взломать новый wordpress у атакующего не получилось (по логам, по косвенным признакам, ещё как), запустить перенос данных со старого инстанса (из БД в БД), пользователей пересоздать.

Как-то так имхо.
В БД вряд ли. Там могут быть линки, с которых скачиваются скрипты, загружающие что-то нехорошее. Также такие файлики могут быть в кеше.

По-хорошему, если есть бекап с точно незаражённым контентом, то скачать его и сравнить с текущим контентом(файлы и БД) и смотреть, где что прописалось. Потом забанить IP и имена с которых скачивается это ненужное(если прописалось) + ограничение доступа к админке только с ваших рабочих IP-адресов. И расширенное логирование с последующим поиском по логам по имени пользователя-админа.