Ein neu angelegter Admin spricht bei so starken Passwörtern klar gegen Brute Force. Da wird Code auf dem Server ausgeführt oder eine Lücke in einem Plugin oder Theme ausgenutzt. Deshalb helfen dir weder ein längeres Passwort noch ein Plugin, das den Login sperrt, wirklich weiter.
Der wichtigste Punkt ist dein Restore. Wenn das UpdraftPlus-Backup schon nach der Infektion entstanden ist, spielst du die Hintertür jedes Mal selbst wieder ein, und zwei Wochen später geht es von vorn los. Hol Core, Theme und Plugins deshalb nach dem Neuaufsetzen frisch aus der Originalquelle und übernimm aus dem Backup nur die Datenbank und den uploads-Ordner, beides geprüft. Durchsuche uploads nach PHP-Dateien, schau in wp-content/mu-plugins nach und prüfe in der Datenbank die Benutzer sowie die Optionen auf fremde Einträge. Danach änderst du alle Zugänge (WordPress, FTP, Datenbank, Hosting-Login) und setzt in der wp-config.php neue Salts, damit alte Sitzungen ungültig werden.
Bei 15 betroffenen Seiten würde ich außerdem prüfen, ob Impreza und alle Premium-Plugins überall aus der offiziellen Quelle mit gültiger Lizenz stammen und wirklich aktuell sind. Automatische Updates würde ich zumindest für Sicherheitsupdates einschalten. Die paar Tage Wartezeit sind bei aktiv ausgenutzten Lücken genau das Fenster, das Angreifer brauchen. Ein zweiter Faktor beim Login ist zusätzlich sinnvoll, schützt aber nicht gegen eine Lücke in einem Plugin.