ftp'den erişmediklerini var sayarak .htaccess dosyana aşağıdaki kodları eklemeyi dene.. muhtemelen saldırılar duracaktır tabi shell yemediysen yada ftp erişimi vs yoksa sonra tekrar siteni topla..
hatta her wp sitenin .htaccess dosyasına direk ekle bu kodları..

# Güvenlik Tedbirleri Başlangıç

<Files wp-config.php>
order allow,deny
deny from all
</Files>

<Files .htaccess>
order allow,deny
deny from all
</Files>

Options -Indexes

# Block WordPress xmlrpc.php requests
<Files xmlrpc.php>
order deny,allow
deny from all
</Files>

#Güvenlik Tedbirleri Sonu