Вирус появляется обычно в 4 случаях:
1. взлом сайта (в основном sql инекции) 
2. Увод акка. не обязательно фтп может быть просто акк от мыла и хостинга.
3. Заражен нуленный движок или фри шаблон.
4. Найдена уязвимость в движке.

1. В первом случае нужно смотреть по логам обращайте внимание на страницы с формой ввода (смысл sql инекции, что при вводе произвольного запроса в формы ввода можно получить доступ к скл базам, где и подобрать/поменять логин/пароль) мануалы ищите в интернете. 
2. Увод акка в основном происходит при помощи троянов. наиболее известный (по крайней мере мне))) ZeUS. Все действия по лечению/изменению паролей и т.д. без переустановки винды (кто хочет геммора, тот может его вылечить))) смысла не дадут ни какого, потому что любые формы ввода, нажатия клавиш, куки и т.д. аккуратно передаются ботоводу в виде логов.
3. В нуленные ДЛЕ часто забивают дырку или уже готовый даунлоадер. Ну тут либо искать кто полечит, либо пользоваться не ломанным.
4. Обновляйте движок сразу с выходом обновлений.

александр петров,  пришлите мне в личку содержимое файла share42.js, который находится в папке share и я вам попытаюсь помочь....