plugins/hello-dolly ....

Non l'ho mai avuto, quello di default l'ho cancellato dopo l'installazione di wp e il file php nella directory hello-dolly, hello.php era la shell. Credo che il tizio abbia uppato la shell nella directory plugins/hello-dolly e rinominato il file in hello.php per non farmene accorgere.

Hai letto il codice del file html?

Si, solita pagina di protesta contro gli infedeli etc...

Se ti può essere di aiuto, assicurati di avere l'ultima versione di Filezilla (se lo usi) e prova ad installare i plugin: Exploit Scanner e Theme Authenticity Checker (TAC).

Ho utilizzato il cmd grep tramite cron per cercare tutti i file che usano passthru|shell_exec|system|phpinfo|base64_decode|chmod|mkdir|fopen|fclose|readfile .

Hai trovato qualcosa?

No, niente di malevole, purtroppo mi sono accorto che il tizio è entrato dalla porta principale,cioè da wp-login e poi con il form di update ha caricato la shell.
Ancora però non sono riuscito a capire come sia venuto a conoscenza dell'username e della password.

Un consiglio che ti posso dare e che sicuramente avrai già applicato, cambia tutte le pass compreso il pannello Hosting.

GRazie per il consiglio, mi mancava solo quella dell'hosting.