ファイルスキャンで見つからない
データベース内のマルウェア

SELECT option_name, LEFT(option_value, 200) AS preview
FROM wp_options
WHERE option_value LIKE '%<script%'
   OR option_value LIKE '%eval(%'
   OR option_value LIKE '%base64_decode%'
   OR option_value LIKE '%document.location%'
ORDER BY option_id;

siteurl、home、widget_textなどに不正コードが挿入されていることが多い

SELECT ID, post_title, LEFT(post_content, 200) AS preview
FROM wp_posts
WHERE post_content LIKE '%display:none%'
   OR post_content LIKE '%visibility:hidden%'
   OR post_content LIKE '%position:absolute%left:-9999%'
   OR post_content LIKE '%<iframe%'
ORDER BY post_modified DESC
LIMIT 50;

SEOスパム（隠しリンク）やマルバタイジング（不正広告）の検出に有効

SELECT u.ID, u.user_login, u.user_email, u.user_registered
FROM wp_users u
INNER JOIN wp_usermeta m ON u.ID = m.user_id
WHERE m.meta_key = 'wp_capabilities'
  AND m.meta_value LIKE '%administrator%'
ORDER BY u.user_registered DESC;

見覚えのない管理者アカウントがあれば、攻撃者が作成したバックドアの可能性がある