È probabile che il tuo sito sia stato hackerato, ho già visto molti casi simili in passato, e direi che è il tuo caso con buona probabilità.

Ok e quindi che faccio per sistemarlo?

Dipende anche dalle tue conoscenze di WordPress e/o programmazione.

Che livello di conoscenze hai? Hai dimestichezza con WordPress e relativo codice? Sai usare FTP?
Sai fare un dump del database?

Importante:
Hai dei backup precedenti del sito?

Si a tutte. ho lanciato il plugin anti-malware e ha trovato un virus in index.php ed ora è tornato a posto

Controlla per sicurezza anche il DB, wordfence et simili non controllano il DB ma solo i files.
Procurati un servizio di backup.

Ho un backup giornaliero tutti i gironi per gli ultimi 30 giorni. Avete consigli per la sicurezza del db?
Sto provando con BulletBroof Security e con Security Antivirus Scanner CWIS.

Questi plugin vanno benissimo per proteggere il database una volta installati,
il problema è che se non c'era prima dell'attacco, va controllato.

Basta fare un dump e cercare "righe sospette" dentro il file .sql

e come le trovo le righe sospette?

Qui ci vogliono pazienza ed esperienza.

Consiglio di usare un editor con la funzione "cerca" e cercare elementi sospetti come "http" "eval" "script" etc

Ne trova tantissimi di risultati per ognuna delle voci qui indicate, a decine e decine.. Oggi un altro virus aveva modificato il file .htaccess, per fortuna me ne sono accorto subito e ho subito sistemato, ma non so quale sia il virus..

Nel db o nei files?

Metti wordfence e fai una scansione.
Cambia password degli amministratori di wp , dell'FTP,Delle email e se possibile del pannello hosting e/o server (plesk cpanel SSH etc)