wp güncellemesini geciktirmiş olabilirsiniz. Bir önceki sürümde bir xss açığı vardı. İlk seferde şifreniz alındıktan sonra ftp ye bir dosya atılıyor. Standart shell taramalarında çıkmıyor dosyaları tek tek analizn etmek gerekebiliyor. Genellikle png uzantılı bir dosya içine gömülen javascript kodlarıyla admin şifresi uzak siteye sürekli yazılıyor. Bu sizin işleri yapan elemanların kullandığı dosyanın adı da genellikle social.png oluyor. Çözüm bulunmazsa yardım edebilirim pm ile skype yollayın.