В wordpress в корневой папке появляется левая папка с файлами. Где искать дыру?

Появляется папка со случайной названием, например
9243102902f8f092a06bf66e373a36fe16dfd0b6
в ней файлы
remote_query_server.php
.state
.htaccess
.filelist
.fileHalfCheck

Удаляю, но на следующий день появляется снова.
Еще через некорое время добавляется код в оригинальный .htaccess чтобы появлялась возможность запускать remote_query_server.php извне с параметрами.

Пробовал сканировать Айболитом папку с вордпрессом - без результата.
Пароли на фтп и вордпресс менял.
Где искать дыру?