Tienes un wordpress ultra desactualizado no? las versiones de hace varios años atrás permitian la infección de shells a traves de una botnet que modificaba la carpeta wp-admin y el index.php.
Pues la versión que tenia era
5.2.2 y la subi a
5.5. Agregaba código malicioso en varios archivos, además de crear archivo con nombres randoms. El código en sí ejecutaba publicidad.