Как проверить файл сайта на вирусы?

Отдельный файл проверяют бесплатным сервисом VirusTotal (virustotal.com): загружаете файл размером до 650 МБ, и его сканируют сразу около 70 антивирусных движков, а не один. Для php-архивов и тем WordPress этого обычно достаточно, чтобы отсеять явный вредонос еще до загрузки на сервер.

Если файл — это архив темы или плагина, распакуйте его и сначала посмотрите на список файлов: лишние php-файлы со случайными именами, вложенные архивы или что-то вроде class.php в необычных папках — уже повод насторожиться, даже если VirusTotal ничего не нашел. Сигнатурные базы не ловят весь вредоносный код, особенно свежий, написанный под конкретный сайт.

Скачивать темы и плагины надежнее только из официальных источников — каталога WordPress.org, маркетплейса Битрикс или у известного разработчика с оплатой через его сайт. Форумы и файлообменники с «бесплатными» премиум-темами — самый частый источник заражения через бэкдор, который потом дает доступ к сайту в обход пароля админки.

Если вопрос не про отдельный файл, а про уже загруженный на хостинг сайт целиком, нужен другой инструмент: онлайн-сканер вроде Sucuri SiteCheck или раздел «Диагностика» в Яндекс.Вебмастере. Они проверяют не файл, а живой сайт по адресу и находят внедренный код, скрытые редиректы и фишинговые страницы, которые VirusTotal просто не увидит.