Как убрать вирусы с сайта?

Первым делом делают полный бэкап сайта как есть, даже заражённый — без него легко потерять контент при неудачной чистке. Дальше ищут посторонние или изменённые PHP-файлы: сравнивают файлы темы и плагинов с чистыми версиями с официального репозитория, проверяют папку uploads на файлы с расширением .php (там их вообще не должно быть) и смотрят список администраторов сайта на незнакомые учётные записи.

Само по себе удаление найденных файлов и лишних админов не закрывает дело: если сайт не обновляли год, заражение почти всегда пришло через дыру в устаревшем плагине или самом ядре CMS, и эта дыра остаётся открытой после чистки. Без обновления заражение обычно возвращается за несколько дней — через ту же уязвимость заливают новый файл.

После чистки обязательно меняют все пароли: от админки WordPress, от базы данных, от FTP-доступа, а также генерируют новые ключи безопасности (secret keys) в wp-config.php — это разлогинивает всех, включая того, кто получил доступ через взлом. Затем обновляют CMS, все плагины и тему до актуальных версий.

Хостингу после чистки обычно нужно отдельное обращение с просьбой снять блокировку и, возможно, приложить отчёт о проведённой работе — автоматически блокировка не снимается даже после удаления вредоносного кода.

Если сайт важен для бизнеса и простой недопустим, чистку лучше доверить тому, кто уже это делал: неправильно удалённый файл может уронить сайт полностью, а недочищенный бэкдор откроет вход повторно уже без явных признаков заражения.