loglara bak kim ne işlem yapmış wp includes yada admine dosya yerleştirmiş olabilir örnk: wp-admin-class.php diye shell dosyası atmış olabilirler