Wordpressからのマルウェア駆除とバックアップ＆ドメイン初期化

FORMの鈴木と申します。 今回、弊社が制作担当しているクライアントさんのWPに不正ログインがあり、 下記のような経緯で担当者が色々調べてみましたが、最終的には手に負えない状態になり これらの駆除をご依頼できればと思っております。 ーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーー 対象サイト：https://naka-sho.net/ パスワードやその他情報は お問い合わせ頂いた方のみお渡しいたします。 ＜担当者の作業経緯↓↓＞ ■3月16日 中商（naka-sho.net）が不正ログインされました…。 　 WPのログインページにアクセスしたところ403に（権限なし） Googleで検索したところ ①権限の設定ミス ②.htaccessの設定ミスが挙げられていました。 https://kinsta.com/jp/blog/403-forbidden-error/ ①を試しましたが回復せず、②を試したところログインはできるようになりましたが管理画面から先の各項目をクリックするとまた403に…。 また削除した.htaccessのファイルの中身を見ると、php関連のファイルを全てアクセス拒否するような記述が見つかりました。 ■3月17日 中商のWordPress、無事他のページも操作できるようになりました。 原因は不正ログインによる.htaccessの置き換えでした。 機械的にファイルを配置していっているのでbot的な何かでしょうか？ ユーザーのパスワードを確認したところadminが "passW0ord" という非常に脆弱性の高いものでした…。 ・.htaccessの削除 ・adminのパスワード変更 ・不明なユーザー(test)の削除 を行いました。 根本的にセキュリティが低い（ログインページがデフォルトのまま、画像認証がない）などについては実装したいと考えていますので、コーダーさんに改めてこの点を依頼お願いできますか？ よろしくお願いします。 ■3月18日 https://wp-doctor.jp/blog/2022/12/08/%E3%83%AF%E3%83%BC%E3%83%89%E3%83%97%E3%83%AC%E3%82%B9%E3%82%B5%E3%83%BC%E3%83%90%E3%83%BC%E3%81%AE%E6%A7%98%E3%80%85%E3%81%AA%E3%81%A8%E3%81%93%E3%82%8D%E3%81%AB%E5%A2%97%E6%AE%96%E3%81%99%E3%82%8Bsm/ ↑の記事にある「small.php」が見つかりました。 「index(3).php」「versions.php」も本来ないはずのファイルが不正な.htaccessファイルが作成された3/15 10時前後が最終更新日になっていました。 https://designsupply-web.com/media/marketing/6617/ ↑この内容が症状としては近そうです。 https://twitter.com/tbshiki/status/1582931581152690177?s=20 ↑Twitterのこの方の症状とも似てました。 403アクセス不可は解除できたので、WordPress用のマルウェア検出プラグイン「Anti-Malware」でファイルスキャン。 ・不正なファイルが追加で見つかったので削除 ・「sid」というプラグイン削除 「index.php」だけがファイル入れ替えてもまだ「脅威」として検出されてしまいます。 参照サイトやツイートみたいにディレクトリ再構築とかもっと抜本的なことしないとダメなのかも…そこまではちょっと怖い。 「index.php」だけは削除→上書きしても直後に不正に書き換えられますね…。 また、WordPressの「更新」でWordPressファイルの再インストールを実行しようとしても処理が進みません。 これ以上はお手上げです。 ■3月19日 また昨日やられまして、変なページを100個ほど追加されました…。 おそらくバックドアがあってすぐ入られちゃう状況かと思われます。 とりあえず3/14のデータをXserverの機能でロールバックしてみましたが、更新ができませんでした。 （おそらく何かサーバ上でマルウェアが動作していてファイルの書き込みをブロックしている？） ーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーー というような経緯になります。 その他必要な情報があればご質問ください。 何卒よろしくお願いいたします。