Büyük ihtimal timthumb exploitidir.
Fakat loglara bakıp açığın ne olduğunu bulmak lazım.Daha sonra mod security'den kural tanımlanır.
Tarama yapan ip adreslerini banlamak.
Taramalar çin'den yapılıyorsa ülke bloklamak.(Subnet'i iptables ile banlamak)
Müşterileri wordpress,tema ve plugin sürüm yükseltmeleri için uyarmak.
Bunlar geçici olarak problemleri çözer.
Tabi hali hazırda sunucuda backdoor varmı taramakta gerekir.
Özellikle spam mailler başa çok büyük bela ip adresini black list'ten çıkarmak ızdırap.