Ich kenne mich zwar nicht mit WordPress aus, würde dir aber dringend raten den gesammten Server genau unter die Lupe zu nehmen. Da der Hacker anscheinend Dateien modifiziert hat (wenn auch “nur” im WWW-Verzeichnis und mit entsprechenden User-Rechten), musst du auch in Betracht ziehen, dass er evtl. noch weiter gekommen ist als du bisher bemerkt hast (z.B. über Sicherheitslücken in System/Diensten).

Auch wenn es sicherlich nicht erfreulicht klingt, aber ich empfehle im Fall eines erfolgreichen Hackerangriffs immer, den kompletten Server platt zu machen und neu aufzusetzen, denn du weißt wie gesagt nicht, was der Hacker sonst noch alles gemacht hat (z.B. Rootkit installiert etc.)

Bevor man wieder online geht, sollte man in seinen Backups natürlich das “Einfallstor” ausfindig machen und eleminieren, sprich rausfinden, wie der Hacker eingedrungen ist (z.B. über ein nicht gepatchtes WP oder WP Erweiterung) und das Sicherheitsloch stopfen.