У одного из клиентов трояном через total commander был украден пароль от ftp. Соответственно, iframe с трояном (winhex org) вставлялся во все index.php. Появилась ссылка на 4buy ru (не буду тут URL с точкой ставить, чтобы не пиарить их). Ну не надо так раскручиваться, это же некрасиво!