Как найти и удалить вредоносный код в шаблонах wordpress?

Всякие автоматические вещицы - вещь хорошая, но свой сайт нужно знать. Поэтому лучше все делать ручками. Вредоносный код - это обычно какой-то java-скрипт. Вот и смотрите все скрипты, разбирайтесь с их назначением, удаляйте непонятные или явно не нужные. Так же могут быть встроены какие-то элементы с других сайтов, в т. ч. через скрытые iframe. Все подобные ссылки на внешние сайты нужно тщательно проверять и удалять ненужные и непонятные.