Восстановить сайт из бэкапа мало: сначала вычистите взлом, иначе занесёте его обратно

Сценарий частый: сайт подняли из резервной копии, а через пару часов вредонос снова в файлах, базе или в админке. Причина почти всегда одна — бэкап восстановили поверх неочищенной площадки.

Правильный порядок такой:
• Сразу смените пароли: хостинг, FTP/SSH, админка WordPress, база данных, почта
• Проверьте, не осталось ли чужих пользователей, скрытых cron-задач и подозрительных плагинов
• Перед заливкой бэкапа удалите заражённые файлы на сервере, особенно в wp-content, uploads и корне
• Если есть возможность, поднимайте копию в отдельную чистую среду и сравнивайте с текущим сайтом

Бэкап тоже нужно проверить. Не возвращайте слепо архив, если в нём уже были заражённые файлы или вредоносный код в базе. Откройте резервную копию локально, посмотрите .php в папках загрузок, странные include, base64, длинные нечитаемые строки, лишние редиректы. В базе отдельно проверьте главную, виджеты, настройки темы и записи, где мог появиться спам.

После восстановления обновите ядро, темы и плагины, отключите лишнее и заново настройте права на файлы. Полезно ещё раз пересоздать ключи безопасности WordPress и проверить .htaccess, wp-config.php и .user.ini. Если заражение было серьёзным, сделайте новый чистый бэкап уже после очистки.

Главное правило: сначала зачистка, потом восстановление. Иначе бэкап становится не спасением, а переносчиком проблемы.