Это уже далеко не новость, похожие взломы начались сразу после Нового года или даже перед ним, вирус контролировал, откуда заходят пользователи на сайт и если видел, что с мобильного устройства, то сразу отправлял их по другому адресу, нужному мошенникам. Адреса всё время меняются, код кстати тоже.
Первоначально он был в следующих файлах:
index.php
engine/engine.php
engine/init.php
engine/data/config.php
engine/data/dbconfig.php
Потом вроде добавились ещё файлы addcomments.php, search.php, main.tpl
Код может повторяться, поэтому следует проверять внимательно, а то может ты один раз код удалишь, а он останется также и в другом месте файла.
Проще всего посмотерть по датам изменения файлов, так как время изменения злоумышленники не меняли.
