Павел Грузных

Удалите модуль mod flexi customcode и используйте что-то другое, например Sourcerer от Regular lab. Этот модуль устарел имеет уязвимости и ошибки, и даже из JED удалён.
Когда ставите расширение следите за его актуальностью, не скачивайте где попало. Только с оф сайтов разработчиков. Иначе ваш сайт взломают.

Если речь об index.php шаблона, то можно кусочки расположить в разных файлах и подключать их через include.

Антивирусы с включенной проверкой SSL-соединений стоят?

Руками.

К примеру у вас на сайте есть авто авторизация при переходе из письма. Типа

http://domain.com/?email=vasya@pupkin.com&secrettoken=vfwervwervwervwervwerv244234

При переходе пользователь перейдет на страницу и если его там оставить то он может кликнуть на внешнюю ссылку на сайте и перейти на другой сайт, а в реферере этого запроса будет

http://domain.com/?email=vasya@pupkin.com&secrettoken=vfwervwervwervwervwerv244234

Чтобы исключить уязвимость надо средиректить с

http://domain.com/?email=vasya@pupkin.com&secrettoken=vfwervwervwervwervwerv244234

после авторизации

Ну еще https избавляет от этой проблемы

Научится работать с HTML
Научится работать с CSS
Научится работать с Chrome Developer Tools
Разобраться как устроены темы Wordpress
Посмотреть как устроенно нужное меню
Открыть в Админке Wordpress Редактор шаблона и написать в нужном месте нужный код

Файлы jbzoo.php, jbupdate.php, application.php претерпели обфускацию.
Их нужно сохранить себе локально и заменить оригинальными из репозитория разработчика компонента jbuniversal. Либо заменить из своего репозитория, в рамках которого разрабатывался сайт topas34.ru, до момента заражения.
Если по каким-то причинам вам не удалось найти оригинальные файлы, или не ведете репозиторий разработок, то остается провернуть увлекательную задачку: деобфусцировать файлы. Простыню кода вы может и восстановите, но наименования функций уже утрачены, придется гадать, что за что отвечает.

Не думаю, что они как-то помешают.

дык читаем шо тебе говорят.

uses weak digest algorithm (SHA1)
использует неэффективный алгоритм свертки ключа (SHA1 устарел и его можно подобрать)

Data from such a repository can't be authenticated and is therefore potentially dangerous to use.
данные из онного репозитория не могут быть (качественно) подтверждены и, как следствие, потенциально опасны.

пинать владельца репозитория чтобы перевыпустил ключ с использованием качественных шифро-алгоритмов
хотя ставить пакеты оттуда apt пока дозволяет.

localhost