Как убрать вирусы с сайта?

Начните с бэкапа текущего состояния сайта и смены всех паролей: от хостинга, от админки CMS и от базы данных - часто заражение происходит именно через украденный пароль или устаревший плагин. Дальше сайт нужно просканировать на вредоносный код и сравнить файлы с чистой версией CMS или темы.

Признаки взлома: лишние файлы в папке загрузок с расширением .php, незнакомые администраторы в CMS, странные редиректы для части посетителей, письма от хостинга или Google Search Console о вредоносном коде. Вредоносные вставки обычно используют функции вроде eval, base64_decode, gzinflate, shell_exec - поиск по ним в файлах сайта помогает найти подозрительные места, но не заменяет полную проверку.

Дальше два пути. Если есть чистый бэкап до заражения - восстановить сайт из него и сразу после обновить CMS, плагины и тему, потому что старая уязвимая версия останется той же дырой, через которую влезли в первый раз. Если бэкапа нет, придётся вычищать вручную: удалять посторонние файлы, сверять ядро CMS с оригинальной поставкой, проверять .htaccess и файлы конфигурации на чужие правки.

Здесь легко пропустить бэкдор, который откроет доступ повторно, поэтому при первом серьёзном заражении я советую звать специалиста, а не полагаться только на антивирусный плагин: он находит известные сигнатуры, а свежий шелл под конкретный сайт может не заметить. После чистки обязательно смените пароли ещё раз и включите автообновления там, где это возможно.