Squattage URL par site pr0n

Bonjour bonjour,

Je me suis retrouvé "par défaut" administrateur d'un petit site en wordpress.
Celui-ci semble s'être attiré l'affection de quelques pirates et je me retrouve aujourd'hui avec des URL qui hébergent des boutiques de viagra et autres joyeusetés pubiennes.
J'ai tout mis à jour pour sécuriser et fait un gros passage dans chacun des répertoires du site pour tracker d'éventuels eval() et les fichiers au CHMOD suspect. Mon navigateur m'affichait alors fièrement une erreur 404 quand je tentais d'accéder à ces URLs piratées.
Mais de temps en temps (selon les configs, les moments, les connexions, ...), la boutique de viagra pirate semble ressurgir. Le plus étrange étant que dans ma session Chrome basique j'avais une erreur 404 et en session privée, la boutique qui s'affichait bel et bien.
Malgré de nombreuses recherches, comment m'assurer que ces URL sont bien "down" ?
Les résultats Google en question :
>> https://anon.to/eawDch

Autre chose que je n'ai pas su faire, comment tracker les redirections d'URL rewriting ?
En l'occurence, les URL apparaissement comme "à la racine" mais bien sûr, il n'y a pas de dossier en dur sur mon serveur ftp à ce chemin, je n'ai pas trouvé non plus de règles dans un htaccess, ni de redirection depuis la bdd de wordpress.
Comment peut-on donc remonter pour savoir quel est le fichier en dur sur le ftp qui affiche cette page ?


Merci de votre aide !

 

Je cache volontairement l'URL : https://anon.to/APCeUc
La version WP est à jour (4.2.1)

(merci !)