Du kannst deine wiederhergestellte WordPress Version selbstverständlich auf Änderungen prüfen. wenn du in dem Verzeichnis wp-content/uploads/ eine thing.png findest ;) hast du bereits die Antwort.
Vielen Dank zunächst für die Hinweise.
Ich denke, das menschenmögliche habe ich unternommen.
Die Wiederherstellung des Webspace erfolgte aus einer sauberen Version.
Danach Passwortwechsel des Admin.
Alle geänderten Dateien der letzten Drei Tage wurden einzeln gesichtet … und nichts unerklärliches mehr gefunden.
Danach vorsorglich alle Schlüssel und Pass zur Datenbank in der wp-config geändert.
Der Vorgang führt wohl auch noch zu einer weitergehenden Betrachtung des generellen Logins für Admins.
Ob Schlüssel oder Zweiweg-Auth, ist zur Zeit noch nicht klar.
Wie auch @fantareis schon klarstellte, muss das Augenmerk noch ein wenig weiter Richtung Verursacher gehen, denn so einem Hack muss letztlich ein anderer vorausgehen. Nochmals ganz lieben Dank für die Hinweise.