El malware suele estar  generalmente en cinco archivos del  WordPress:
wp-includes/wp-tmp.php
wp-includes/wp-vcd.php
wp-includes/wp-feed.php
wp-includes/post.php
wp-content/themes/mi-tema/functions.php
Antes vamos a hacer una aclaración, y información que debes saber , para que el virus se expanda , usan un instalador que inyecta el código en los archivos. y entonces para que esto no pase de nuevo debes eliminar
class.theme-modules.php
class.plugin-modules.php
No es normal tener esos dos a la vez , peor si es tu caso , que sepas que te han infectado por partida doble.