1. Удалите все файлы кроме /wp-content
2. Загрузите новый WP (базу подключите существующую)
3. Удалите тему, установите ее заново с сайта разработчика, если она у Вас покупная
4. Временно удалите все плагины - проверьте, будет ли замена siteurl
5. Замените стандартные логины суперпользователей: admin и других пользователей с расширенными правами, на другие
6. Установите права только чтение, для всех файлов, кроме /wp-content/upload/ и отключите выполнение php файлов в этой папке
7. Установите защиту в .htaccess, чтобы при обращении к папке /wp-admin вначале просило пароль
8. Сделайте копию всех файлов, после очередного взлома, сравните, какие файлы изменились, в принципе они не могут изменится.
