Du siehst den Account ja nur, wenn du dir eine Liste ausgeben läßt. Für diese Liste existieren Filter, damit sich Plugins reinhängen können. Wo aber der spezielle Filter sitzt, der einen bestimmten Account vor dir verbirgt, kann niemand sagen. Dazu müßtest du sämtliche PHP-Dateien genau durchsuchen. Das ist keine Lücke in WordPress, weil nur jemand mit funktionierenden Zugangsdaten an diese Dateien herankommt, und für die bist eben du verantwortlich, nicht irgend eine Software.
Software-Firewalls sind Schwachsinn, und auch ein Antivirenprogramm schützt dich nicht vor Schädlingen, die du schon installiert hast.
Mein Tip: Sichere alle Daten und säubere dann dein System. Du mußt dir absolut sicher sein, daß keine Schadsoftware drauf sitzt, also im Zweifelsfall ein sauberes Image draufspielen oder eine Neuinstallation durchführen.
Dann richte einen FTP-Account ein, und lösche den alten.
Danach installierst du WordPress komplett neu. Verwende keine der jetzt existierenden Dateien mehr und auch nicht die alte Datenbank.
Lerne daraus. Sichere regelmäßig deine Daten, und installiere nur, was du brauchst.