環境

PHP 5.6.40
WORDPRESS 4.9.10
さくらレンタルサーバ

症状

そのサイトにアクセスすると「時々」、無関係なページ（多くはショッピングサイト）にリダイレクトされる。

原因

index.phpとwp-settings.phpが改ざんされて、不正なコードが実行されるようになっていました。(コメント欄でwp-config.phpも改竄されたというご報告もいただきました)

具体的には、以下のようなコードがファイルの先頭(<?phpの後)に挿入されています。（include命令のハイフンは実際には存在しません）

index.php

/*5cadc*/

@i-nclude "\057ho\155e/\...中略.../.\0671b\143bc\1452.\151co";

/*5cadc*/

wp-settings.php

@include "\057h\157m\145/\...中略...\157r\057.\0671\142c\142d\1453\056i\143o";

このコードをデコードすると、以下のようになります。

@i-nclude /home/...中略.../.71bcbce2.ico
@i-nclude /home/...中略.../.45f02abd.ico

この .71bcbce2.ico ファイルは実際はPHPファイルでevalを含むコードが記載されていて、これによりリダイレクトしているようです。

phpタグではじまる難読化されたコード 

e-val(rawurldecode($_b6zpgi5) ^ substr(str_repeat($_tzdfh, (strlen($_b6zpgi5)/strlen($_tzdfh)) + 1), 0, strlen($_b6zpgi5)));

続く

対処

index.phpに挿入されたコードを削除すればリダイレクトされてしまう問題は解消されます。

icoファイルも削除します。

サイトの最上位ディレクトリで以下のコマンドを実行して、他にも同様の改ざんがないか確認します。

find . -name '*.php' | xargs grep 151co
find . -name '*.php' | xargs grep 143o

繰り返しになりますが、これは対症療法であり根本的には脆弱性をふさぐ必要があります。

追記

改ざん・生成されたファイルの多くはWordfenceプラグインのScanで検出されますが、icoファイルは検索対象外のようで検出されませんでした。
icoファイルを探して、一つづつ確認したほうがよさそうです。

find . -name '*.ico'