In 99,9% din cazuri este injectie de cod. Fie e codul introdus direct in fisierele tale, fie este introdus la momentul deschiderii siteului printr-un iframe/ajax/import/etc. Wordfence si alte pluginuri cauta functia eval si alte functii care sunt folosite frecvent pentru a infecta fisierele.

Dar ce te faci daca functia eval este scrisa asa "ev+al"? N-o gaseste nici-un plugin, tot manual se rezolva