Ну вот это как то совсем зря, зря....
Судя по тому что заражены даже языковые файлы, то размазана обфусцированная зараза равномерно по всему движку, если нет более ранних бэкапов, то выковыривать руками из каждого файла. Ну или сносить все и ставить по новой.
Переименовывать смысла нету, идеальный вариант закрыть в htaccess по IP адресу, это если он статический, если динамический, то через htpasswd добавить дополнительную аутентификацию на уровне апача.
Если все файлы старого движка, и база, были удалены, то никакой роли не играет. Вордпресс был скорее использован как база для малвари, не более того.
Им можно проверить на локалке с под винды, и не мучить хостинг пиковыми нагрузками.
Полно скриптов, которые автоматически ищут и подбирают стандартные пароли на админку во всех известных CMS, так что неудивительно...
По сути да, есть некий загрузчик, залитый через дыру, и он уже втягивает основной код. может контролировать целостность малвари, может нет, зависит от уровня атакующего, и насколько он прицепился именно к вам. По большому счету такие вещи делаются ботнетами массово, и как бы выпадение одного зараженного IP никто и не заметит, но есть и более интересные C&C которые проверяют как дела у их подопечных...
бухали...