Wordfence face bine ce face, respectiv scanarea, dar este limitat la repository de la wordpress pentru a compara fisierele, sa vada daca sunt "originale" sau nu.

Practic este posibil sa existe in tema premium (de obicei in functions.php) sau in plugin premium un cod care sa spuna "incarca si fisierul X.jpg si ruleaza-l". Fisierul X.jpg este exclus de la scanare (poti vedea in wordfence) impreuna cu png, ico si altele comune. Cand sunt rulate, umplu serverulde gandaci. Pe care tu ii cureti azi, maine, poimaine, pana te saturi si crezi ca are internetul sau universul ceva cu tine.