Сайт Взломали - WordPress

Плагинов-то нуллед не было, кстати? )

нет, все платные плагины официально оплачены

Прям жуть какая то...
Делаю бэкап и сразу на всех почти сайтах устанавливается плагин WP File Manager

Думаю сделать бэкап и сразу записать в файл .htaccess

<Files "wp-login.php">
    Order deny,allow
    Deny from All
    Allow from (мой ip)
</Files>

<files wp-config.php>
order allow,deny
deny from all
</files>

Так же в wp-config.php

define('DISALLOW_FILE_EDIT', true);
define('DISALLOW_FILE_MODS', true);

Нет. Обязательно скачиваешь WP с оф сайта. Трешь полностью весь WP у себя, оставляешь конфиг, если там нет ничего подозрительного. Потом заливаешь новый WP. Суть в том, если где-то сидит зловред и подтягивает все жути, он будет удален. Новые пароли везде.
Если в плагинах уверены, то ставите обратно. Дальше, делаете снимок всей системы на момент, когда она чистая. Можно плагином безопасности, если нет уверенности в своих силах и средствах.
На момент всех работ выключить остальные сайты, чтобы не было доступа у зловредов в сеть, я так понял все сайты заражены в итоге. Проще всего временно убить файлы конфига сайтов, потом по мере исправления подключать.

В дле была популярная уязвимость, залить картинку которая могла быть исполняемая как пхп и запускать создание папки файлов для вставки чего угодно. Может и тут так?

Нет, новых картинок не наблюдаю на сайтах
но на одном сайте у меня был KingKomposer - который уязвимый, может через него... (я знал про это, но не думал что будет что то плохое)
Удалил его сразу

WP тема где бралась?

Все Темы покупались официально через темфорест

Но одна была куплена на Кворке, как раз где и был плагин KingKomposer 

Вот почти и докопались до причины ..

Так-то не плохо у него с проблемами:

Межсайтовый скриптинг
Обход ограничений безопасности
Компрометация системы

Если уже отработали заложенные шелы и что там, то можно удалять плагин или нет, толку не будет. Активировалась заложенная система взлома, залила файлы в корень или в папки WP всё, что надо и теперь уже заражает от туда файлы. 
Только полный перезалив системы, если конечно на глаз не сможете в паре миллионов строк кода найти изменения и новые файлы в папках.

А есть хороший плагин безопасности для Вордпресс, который находит плохие скрипты на сайте?