昨日の続きです。
やられる前とやられた後のデータベースのダンプを見比べてみました。
wp_optionにoption_nameがw_dolly_resettime、w_dolly_hash、w_dolly_targetのレコードが増えてました。同じくwp_optionのoption_nameがactive_pluginsにWPCoreSysってのが追加されてました。（phpが途中から動かなくなったのかプラグイン自体は存在しませんでした。）
wp_usersのメールアドレスも書き換わってました。ドメインで検索して念のためキャッシュの方を見ると日本語のサイト……
あと、データベースにdolly_plugin_tableってテーブルが追加されてました。
WordPress › Support » System postings auto created