backup? ripristina
no backup? Porta tutto in locale, a manina elimini le stringhe malevole. Poi installi un server in locale, testi il sito, lo AGGIORNI all'ultima versione sia core che estensioni, controllando che siano tutte "tranquille", poi cambi le password, le metti MOLTO solide, non essere avaro con lettere, numeri, simboli. Poi riporti tutto a remoto.
Ciao