Malware sur site Wordpress

Bonjour,
Un de mes clients vient de me transférer un email d'alerte de la part de Wordpress signalant la présence de malware sur l'hébergement :

Cher client(e),

Nous vous informons de la présence de fichiers infectés responsables d'une vulnérabilité potentielle
a été détectée au sein de l'espace d'hébergement qui pourraient être vecteur d'attaques ou d'accès illicites aux données.

Conscients du fait que la publication de ces fichiers est indépendante de votre volonté, nous vous
invitons à respecter les procédures suivantes :
Dans le cas de WordPress non géré :

changer les mots de passe des utilisateurs pour ce WordPress
supprimez les fichiers malveillants ou corrompus via FTP ou restaurer une version précédente
vérifier l'état de mise à jour de tous les plugins et les thèmes
vérifier l'état de la mise à jour de l'installation
IDans le cas d'un WordPress géré :

contactez le support technique immédiatement
changez les mots de passe de tous les utilisateurs qui ont accès à ce wordpress

Ci- dessous la liste des fichiers et malwares identifiés durant le scan:

www/wp-includes/ID3/module.tag.id3v1.less.php ({HEX}Malware.Expert.php.eval)

J'ai installé un plugin censé sécuriser le site mais il n'a pas l'air de détecter de problème. Nous avons également changé nos mots de passes.
Je ne m'y connais pas du tout en FTP (le site est hébergé chez Amen), je pense qu'il serait nécessaire qu'un ou une exprert.e vérifie que tout soit ok.

Merci beaucoup pour votre aide