virüs tabi ki kendini yenilemiş. artık wp-vcd.php olarak değil class.theme-modules.php olarak bulunuyor sistemde.
temanın functions.php dosyanın içinde en başta aşağıdaki kod yer alıyordu.

<?php if (file_exists(dirname(__FILE__) . '/class.theme-modules.php')) include_once(dirname(__FILE__) . '/class.theme-modules.php'); ?>

Bu kodu da manuel bulmak mümkün değil. buradan görüp denediğim wordfence programı ile çözdüm.
Herkese teşekkür ediyorum.