есть подозрение на хостинг
сперва в одном php файле я увидел код eval(@_GET[c]); причем увидел сразу так как по какой-то причине был отрезан низ сайта, включил вывод ошибок и увидел
затем мне сказали что с андроида скачивает файл при входе я нашел в htaccess перенаправление на другой сайт для тех кто с андроида итд
убрал код, сегодня смотрю снова этот код появился
я думал может вирус подхватил бывает такой через ftp заходит, но нет вирусов нет, на других сайтах которые в ftp прописаны все нормально,
значит скорее всего через хостинг что-то делают