Восстановить сайт из бэкапа после взлома — и не занести вирус обратно

Сначала не разворачивайте архив «поверх» текущей установки. Сделайте копию заражённого сайта отдельно: файлы, базу, wp-config.php, .htaccess, список плагинов и пользователей. Это нужно, чтобы понять, где именно сидел вредонос: в теме, в плагине, в uploads или в базе.

Дальше поднимайте сайт только на чистом хостинге или в отдельной папке. Перед импортом проверьте бэкап: уберите все файлы, которые не относятся к WordPress, сравните плагины и тему с оригинальными, удалите неизвестные PHP-скрипты из uploads. Если бэкап уже содержит вирус, восстановление просто вернёт проблему назад.

Пароли меняйте сразу: админка, FTP/SFTP, база, панель хостинга. Затем проверьте пользователей WordPress, cron-задачи, редиректы и скрытые записи в базе. Часто вредонос прячется не в ядре, а в новом администраторе, автозапуске или вставке в footer.php.

После запуска поставьте нормальный бэкап-ритм: полный архив + отдельная копия базы, хранение вне сервера, минимум одна тестовая проверка восстановления. И обязательно закройте дыру, через которую вошли: слабый пароль, старый плагин, открытый upload, права 777.

Если восстанавливать сайт без чистки и смены доступов, вы чините только внешний вид. Сначала санитарная обработка, потом разворот бэкапа — и только так сайт реально считается спасённым.