На сервере с массой WP сайтов заражение

По htop посмотрите что именно грузит сервер. Если сервер слабый, может даже от сканирования антивирусом нагрузка подняться. На WP поставьте стандартные плагины Disable XML-RPC и Limit Login Atempts, закроете основные пути по которым ломятся на сайт. Или поставьте Wordfence, там встроенная проверка на вирусы и сравнение и исходниками репозитория есть, также поможет найти где вредоносный код успел внедриться)

Pavel A, Видно решили, он нас потёр, а мы его ддоснем в ответ:)

на кой хер хомяка ддосить? пусть сменит пароль на фтп и успокоится, потом можно по новой залиться

Это неправда. Сигнатуры у всех разные. И качество обнаружения разное. "Вместо тысячи слов": возмите зараженный сайт и просканируйте двумя (тремя, четырьмя) разными антивирусами. Увидите разницу по числу обнаруженных файлов, потом выберите функцию автоматического лечения и посмотрите результат, сколько на автомате вылечится файлов.

Рекомендую CWIS antivirus плагин под вордпресс есть https://ru.wordpress.org/plugins/cwis-antivirus-malware-detected/, ну и да лучше конечно несколькими АВ сканить.

Просто они хотят вернутся. И скорее всего вернутся через ту же дыру. Так что нужно мониторить. Мой первый милый сайтик так убили )

Ну а вообще непонятно, что там на сервере ТС. Ничего толком мне написал.

Была подобная проблема, обращался к чуваку с форума. Чувак все почистил, гугл снял отменку о зараженном сайте. Мелкосайты, правда, было неретабельно лечить, прищлось их убить. Все забываю 3 года ему отзыв оставить, пусть будет за отзыв, у него где-то здесь ветка есть.

Там какой-то скрипт реплицировал администраторов-ботов, которые вносили изменения. Для начала надо проверить, не появаились ли новые админы в админке. Но бесплатными антивирями у меня сайт не чистился.

Джумла наверно?

А что сразу "косой" (С)? Это в любой CMS возможно.

Возможно, но конкретно относительно недавно была уязвимость позволявшая создавать администраторов в Joomla. Я сам ей пользуюсь.