Obrigado pelas dicas. A verdade é que hospedo sites de clientes e muitas vezes alguns deles usam realmente plugins que deveriam ser pagos, mas compram de sites alternativos que alegam fazerem modificações apenas seguindo os preceitos GPL, mas não há como garantir que não coloquem códigos maliciosos. O pior é que se eu passo o wordfence, ele limpa o arquivo, mas horas depois, o site volta a ser infectado. O atacante deve ter colocado algum código oculto em algum arquivo. Eu até consegui isolar o problema criando um novo servidor e enviei para lá apenas a pasta /uploads e o arquivo sql. Felizmente, nesse caso, o banco de dados, isoladamente, não executou código e resolvi o problema. Percebi que o atacante inseriu alguns arquivos php dentro da pasta uploads, mas as removi.
Depois que o site foi invadido, comprei o tema na mesma versão do tema comprado em site alternativo. Alguém conhece um método para eu checar todos os arquivos .php do tema, comparando-o com o tema legítimo e ver o que o vendedor alternativo modificou para eu entender o que ele fez?