Powracający złośliwy kod

W folderze wp-admin pojawia się katalog „scripts” a w nim trzy pliki php o nazwach sriptxxx.php (gdzie xxx to cyfry) z jakimiś odnośnikami do rosyjskich stron. Po ich usunięciu, pojawiają się ponownie.
Zmieniałem hasła (do wp i ftp), userów, htaccess tylko dla mojego IP, skan sucuri nic nie wykrył. Strona działa OK, ale coś trzeba z tym zrobić, zresztą admin zgłasza złośliwy kod. Na serwerze są dwie instalacje WP i na każdym jest ten sam problem.

Gdzie szukać robala? Czy może lepiej od razu ręcznie wgrać nowe, czyste pliki WordPressa?