Наверняка шел размножен, ставьте ограниченный доступ к серву по ip.

если у вас не ругается тот же касперский - не значит, что его нет...
теста ради - прекратите хранить свои длинные пароли к ftp в клиенте.

Возможно есть уязвимость в каком то плагине или шаблоне на одном из сайтов, этого достаточно чтоб постоянно перезаливать шеллы да менять файлы на всех ваших сайтах. Глянь тут может помогут.

Сообщение отредактировал Zezza - 5.2.2014, 15:17

Есть плагин(плагина не помню), который фиксирует изменения в файлах и отправляет данные на почту, я думаю он поможет вам выудить вирус. А лучше всего слить сайт и прогнать авастом, он обычно хорошо выводит все скрипты.

Вычищаете от чего?? Шеллы заливают? Судя по описанному - Админки и фтп они даже не трогают.

Смотрите в какую папку заливают шелл, выставляйте права на запись. Явно уязвимость в каком-то плагине или модуле.

У меня подобная проблема, не на одном хостинге.
Тоже "тусуются" почти одинаковые проблемы. Движков много, и все разные.
И обновить движки - проблема (та же Joomla), т.к. с ними уже напильником поработал.
У меня - невозможно.
Плохо видят. Как и остальные.
Заражение сайта, а потом и всех на виртуальном хостинге, с Касперским не имеет никакого отношения.

Проблема не простая, и очень не простая.

На отдельном хостинге висят 5...12 сайтов, на разных движках.
За всеми не уследишь.

Что бы помогло, это отслеживание новых файлов в статичных директориях, которых быть не должно.
DLE в последнее время взламывали так:
1) .htaccess в engine/classes , со своим RewriteRule (или другой директории, images или media)
2) index.php в engine/classes , которого быть не было, и не должно никогда
3) на твоём сайте создано 1000+ левых страниц. Отслеживаешь в Метрике. Закрываешь через robots.txt весь этот шлак
4) думаешь...

Не знаю офф не офф? Спрошу тут.
У меня 3 сайта на Joomlа, на одном хостинге. Одновременно перестали работать визуальные редакторы.
Появилось мнение что это шелл. Вроде бы нашел исполнителя по очистке, но он говорит что это проблемы безопасности хостинга и может все повториться. Надо менять хостинг. Так ли это? вроде хостинг известный, точнее реселлер германского хостинга, говорит что это проблемы безопасности движка, а как же так что они одновременно заразились?
если так то присмотрелся перейти на Logol, безопасный ли он?

Digl, Начните с замены ключей в config.php
Поставьте хорошую капчу.
Обратите внимание на обсуждения. И проверьте комментарии на присутствие вредоносов.

Как не банально.
Хорошо помогает обычное обновление движка WordPress.