Короче, добил я этот редирект, делюсь опытом, чтоб никто больше так не влипал.

Как и подозревал, Айболит и прочие стандартные свистелки-перделки ничего не видят. Эти деятели сейчас пошли хитрые: вшивают скрипт прямо в базу (таблица wp_options) в зашифрованном виде. Редирект срабатывал только на мобильные юзерагенты, причем выборочно, чтобы владелец не сразу спалил.

Потратил кучу времени, в итоге просто снес всё нахрен. Поставил чистое ядро, тему пересобрал из исходников, базу вылизывал руками. Оказалось, залезли через старый плагин, который я "забыл" обновить.

Теперь только статика или максимально простые движки без этого мусора, ну его в баню.