Как удалить вредоносный код с сайта?

Сначала нужно найти сам код, а не удалять наугад. Чаще всего вредоносные вставки прячутся не в файлах, а в базе данных — в тексте записей, виджетах или настройках темы, куда их добавляют через взломанный плагин или украденный пароль от админки. Ищут по характерным сигнатурам: eval(), base64_decode(), gzinflate(), незнакомый тег script со ссылкой на чужой домен.

Проверять нужно в двух местах. Файлы сравнивают по дате изменения с датой вашего последнего обновления — чужие файлы, добавленные позже, обычно сразу бросаются в глаза. А в базе данных ищут по таблице записей и виджетов на подозрительные вставки script, которых вы точно не добавляли.

Надёжнее всего восстановить сайт из чистого бэкапа, сделанного до заражения: это исключает риск пропустить одну из нескольких точек, куда вставили код, что при ручной чистке случается регулярно. Если бэкапа нет, вставки удаляют вручную, обязательно сохранив копию файла или записи перед правкой — на случай, если что-то пойдёт не так.

Сама чистка не закрывает причину заражения. После неё смените все пароли — от админки, от FTP и от базы данных — и обновите CMS вместе со всеми плагинами и расширениями до актуальных версий. Иначе через ту же уязвимость или тот же украденный пароль код вернётся снова в течение нескольких дней.