А как насчет защитных плагинов, типа anti-xss-attack и прочего?

Плагин активирован. Дело тут не в плагине. Как я писал выше эта «зараза» сидела не только в Wordpress'е но и на joomla. Всего было 3 зараженных сайта. Видимо кто то или что то взломал(о) мой аккаунт к хостингу и проник ко всем файлам и папкам.

Дам маленький совет. Меняйте пароль к хостингу хотя бы раз в месяц ,не сохраняйте его для автоматического подключению к серверу в различных программах через которые вы подключаетесь через ftp и все будет норм .