取り急ぎWordfenceをインストールし各種設定後スキャンをしたところ、書き替えられたファイルがあるとのことでした。慣れないながら修復を行ってみたのですが、今の状態だといかがでしょうか…？

（自分のスマホでも確認してみましたが、安全ではないというポップアップは表示されなくなったようです）

ふと思ったのですけれど。

とりあえず、セキュリティプラグインを入れて、サイトをスキャンしてみてはいかがでしょう？

Yamachan11さんの仰るWordfenceでも良いですし、他のものでも良いですので。
（Wordfenceは、無料プランでもユーザー登録が必要だったと思います。他にも優秀なセキュリティプラグインはあります。それらは無料のプランでも、簡易的な攻撃はブロックしてくれます）

それで、発見できたり駆除できたりすれば、ラッキーくらいの認識でやってみても良いと思うんですよね。

これまでは、セキュリティプラグインのご利用がなかったみたいですから。
今後は、必ずご利用になった方が良いと思います。
（過大な期待はしない方が良いですが、セキュリティプラグインなしでのサイト運営は、かなり難しいと思います）

「WordPress セキュリティ プラグイン」で検索すると、解説サイトが見つかると思います。
タイプ別に、複数のプラグインを紹介してくれていると思います。

一例として、以下をリンクしておきます。

サイトの脅威を排除する優れたWordPressセキュリティプラグイン
https://kinsta.com/jp/blog/wordpress-security-plugins/

他にもありますので、検索なさってみてください。

ｍｋ２さん　Yamachan11さん、色々情報いただきましてありがとうございます。

取り急ぎご教示いただいた内容を一つずつ試してみて、ダメそうならプロの方に相談することも視野に入れようかと思います。

これでは、Wp Cleansongで作られた管理ユーザで簡単に管理画面に入られてしまいます。

あなたのドメイン/wp-login　で404としている様に、/wp-admin も404にリダイレクト指定が必要です。

これは、セキュリティプラグインのSiteGuard WP Pluginで簡単に設定できます。

参考「 https://xn--ecka7j.biz/site-operation/318/ 」

念の為、wp-login.phpのログイン画面名の変更しておいた方が良いでしょう
（これもSiteGuardで変更できます）


「身に覚えのないアカウント２つは削除」されたとのことですが、

セキュリティプラグインのWordfenceを導入することで、
ログインが試みられたユーザ名と、ipを取得できます。ので、

参考「 https://xn--ecka7j.biz/security/1242/ 」

後から、ipブロック設定にも利用できます。

ブロにお願いするのが、1番確実だとは思います。

改ざんされたファイルについては、元ファイルに上書きすれば良いのですけれど。
（ただ、見つけるにはある程度知識が必要かと）

不正に追加されたファイルについては、削除が必要でしょうし。
（これはどうやって見つけるか）

データベースに何かあれば、どうやって見つけるのか・・・。

などなど、いろいろハードルはあろうかと思います。

とりあえず、私が最初に挙げた2つのScriptは悪さをするみたいですから、Grep検索などして、見つけることができるかもしれないです。
（巧妙に埋め込まれていれば、それでは見つからないかも。データベースはそれではできなさそうですので、エクスポートして確認？）

サーバーは、変えてもあまり意味はないような気はします。
（サイトを丸々消せば、消える話かと）

作り直す場合は、元データを流用せずにということであれば、良いですけれど。
（記事のデータ自体は、コードに変なものがないか確認できれば、流用はできそうですけれど。）

改ざんされた日付（例えば不正なユーザーやプラグインが、追加された日付）が分かって。
（タイムスタンプなどから調べられると思うのですけれど、既に消したのであれば分からないかも）

かつ、それ以前のバックアップデータが残っていれば、それに戻すということも可能なのですけれど。
（この場合は、一旦サイトのデータを全部消しても、復元できますし）

今、スマホでアクセスしてみましたが、リダイレクトされ、ウイルス対策ソフトがブロックします。

どうするかは、OtoroZeusさんのご判断とは思いますが・・・。