Извиняюсь за форматирование. Ищу варианты опубликовать пост что бы все слова пропустило.
Столкнулся с такой же проблемой. Нашел файл SH в директории / wp-admin / js / widgets /.
Три дня уже потратил на то что бы найти вирус. Находил даже файловые менеджеры непонятно когда загруженные. но все не помогало. По вашему вопросу насчет появления удаленного файла - найти не сложно что его исполняет.
https:// prnt.sc / 26lgn6w - вот вам замена вашего hta ccess и индексного файла.
По поводу SH файла я его только обнаружил (искал по слову hta ccess). Чуть позже отпишусь помогло ли его удаление для избавления от вирусни. И это кстати не только WP вирус. На битриксе на одном из сайтов таже песня.