ramjke

1. Если и отразится - то незначительно. Процессы веб-сервера всё равно работают под пользователем Apache, и работоспособность веб-сервера не страдает.
2. Да, если по каким-то причинам им удаётся загрузить и выполинть скрипт. Злоумышленники могут получить доступ к любым файлам в пределах пользователя.
3. Минус - огромный список пользователей. Плюс - сайты изолированы друг от друга.
См. эту тему взлома
Что делать,если на сайт залит вредоносный файл?

П.С. В ISP есть встроенный антивирус ClamAV - в разделе "Возможности."

Языки - никаких не надо знать. Достаточно грамотно настроить программы.
Nginx - настройки оптимизации (кеширование, keepalive, gzip, количество воркеров), и безопасности (сервак не должен ложиться под дос-атаками и выполнять php, загруженный под видом картинки). Уметь пользоваться Rewritemode.
MySQL - настройки кеширования (размер кеша, количество таблиц в кеше).
PHP - Memcache/Xcache для кеширования результатов запросов к php. Настройка заключается в основном в выставлении размера кеша.
Wordpress - знание основных атак и установка плагинов от них (из популярных атак - брутфорс пароля к админке и xml-rpc атака).
Ротация логов - чтобы место на диске не закончилось от распухших логов.
Fail2Ban - чтобы не забрутфорсили пароли к ftp, smtp, ssh.
Опционально - установка системы мониторинга (Zabbix, Nagios) для отслеживания работы служб (nginx, mysql и другие необходимые) и доступности сайта.
Из утилит нагрузочного тестирования простейшая - ApacheBench (просто шлёт n запросов на одну страницу), покруче - Jmeter (с возможностью записывания сценариев).

Скорее всего, он лежит в файлах типа index.html или инструкция по подгрузке стороннего фрейма лежит в файлах .php. Но вообще, может быть практически где угодно.
Самого кода Вы не найдёте - в файле хранится только ссылка на отображение содержимого со стороннего ресурса (в данном случае - от bigmedia).
Советую прописать исключение для домена bigmedia в .htaccess.
А лучше - определить, с каких ресурсов подгружается реклама (через инструменты разработчика в браузере - инструмент "Сеть") и произвести поиск по доменному имени в файлах.

1. Обновление движка. Регулярно выпускаются обновления безопасноти, закрывающие дыры в функционале движка. Если обновления не ставить - Вас регулярно будут ломать.
2. Права на папки 755, права на файлы 644 и никак иначе.
3. Разные владельцы для разных сайтов. Если сделаете несколько сайтов под одним владельцем - есть риск заражения всех сайтов.
4. Никаких левых плагинов с непонятных сайтов. Только офф плагины и аддоны.
5. Анализ логов доступа к сайту. Спросите у хостера, когда начала проявляться активность - и просмотрите POST запросы к Вашему сайту в админскую директорию. Анализ логов позволит установить айпишник злоумышленника и уязвимость.
6. Скачайте свежий бекап сайта к себе на компьютер и прогоните его антивирусом - простейшие инъекции почти любой антивирь найдёт. Особая рекомендация - если есть комп с ОС Линукс, используйте Maldet - ориентирован на безопасность сайтов.
habrahabr.ru/post/194346
7. Следите за тем, чтобы на тех компах, с которых Вы заходите, не было вирусов. Никогда не сохраняйте пароли в браузере и в фтп-клиентах.
8. Нет, смена паролей не помогает, если вредоносный файл был занесён через уязвимость. Помогает соблюдение вышеописанных правил + использование актуальной, регулярно обновляемой версии движка.
9. Ограничьте доступв админку сайта, панели управления хостинга по айпишнику (то есть оставив вход только со своих айпишников) - бережёного б-г бережёт.

Если Вы отсылаете рассылку подписчикам своего сайта - используйте почту сайта.
Не забудьте ознакомится с требованиями ведущих компаний к рассылкам и следовать их требованиям (настроить записи для доменов, оформить кнопку отказа от рассылки и другое).
https://yandex.ru/support/mail/spam/honest-mailers.xml
https://support.google.com/mail/answer/81126?hl=ru
https://help.mail.ru/enmail-help/rules/general

Зайдите по ftp или через панель управления - файловый менеджер
Проверьте .htaccess - никакого редиректа там быть не должно. Сейчас у Вас идёт редирект 304 на другой сайт.
проверьте права - на все файлы 644, на папки 755 (и никак иначе!)
Опционально Если у Вас есть access.log к сайту - можно посмотреть, как именно взломали сайт и с какого IP (отсортируйте по post запросам и кидайте сюда. ну, или целиком выкладывайте, посмотрю).
Обычные антивирусы неплохо ловят инъекции - создайте свежий бекап сайта, скачайте его на свой компьютер и проверьте бекап.
Если у Вас VPS с Linux - можно установить антивирус, ориентированный на веб - Maldet
habrahabr.ru/post/194346
После проверки обновите WP до последней версии