Hackleme vakası bu aslında, adam kendisine bir backdoor oluşturmuş. Bana Pharma vakası gibi geldi.
wp-content/uploads/'da php dosyası var mı bir kontrol et
wp-includes/images/smilies/ sayfasını kontrol et. php var mı ya da çok değişik bir uzantı.
bunları da kontrol et:
wp-includes/wp-db-class.php
wp-includes/images/wp-img.php
ama biraz akıllıysa bu adam farklı bir dosya'da açmıştır backdoor'u veya plugine girmiştir.
bence bütün dosyalarını indir ve şu kodu arat (ya da varyasyonlarını)

< ? php $XZKsyG='as';$RqoaUO='e';$ygDOEJ=$XZKsyG.'s'.$RqoaUO.'r'.'t';$joEDdb

Aratırken notepad ++ kullanırsan işin daha çabuk olur tabi.