[Zvеr]

Закодировано может быть как в functions.php, так и в других файлах темы(header.php, sidebar.php и т.д.), тут уже зависит от степени извращенности разработчика шаблона. Недавно раскодировал шаблон в котором 6 закодированных блоков было, как правило все в eval, вместо исполнения кода просто выводил его на экран и смотрел за что он отвечает :) но бывает помогает и обычное комментирование таких блоков, если они не связаны с другими частями кода.

[Alik]

Есть плагин TAC. Устанавливаешь в админке, и он показывает в каком файле и на какой строчке имеется зашифрованный код или ссылка на др. ресурс. Дальше идешь в онлайн декодеры, вставляешь куски зашифрованного кода, декодер выводит тебе чистый код, а там уже смотришь обычный ли это html или php код, в который обычно суют проверку на присутствие ссылок.