Что делает этот скрипт?

несколько моих сайтов заразились тоже, почистил переустановил пароль к фтп, а авиру эту как устанавливать? т.е. куда?

я так понимаю на винду. так если на хосте 400 сайтов заражено

Рома, это обычный троян, направленный на внедрение ЯС кода в страницы сайтов. Жаль, что ты уже редактировал файлы. Фишка в том, что у тебя на сервак могли положить небольшой файлик (или внедрить маленькую функцию в какую-нить РНР-страницу), который будет проверять наличие этого внедренного кода и, если его не найдет, то писать его опять. Самый быстрый и надежный способ найти распространителя - дата последней модификации файлов. ДПМ файла с внедрением берется за контрольную точку и ищутся файлы с таким же ДПМ +/- 1 день (зависит от посещаемости сайта, чем она больше, тем меньше разброс). Актуально для виндового хостинга.

Т.е. вы заразили свои сайты просто серфя в сети?

эта хрень заражает машину пользовател, подгружает троян с удаленного сайта, тырит пароли и логины к фтпишникам и прописывает туда себя во все индексы, до которых дотянется, кроме того обшаривает комп пользователя на предмет паролей к вэбманям, я-деньгам, аськам и почтовым ящикам, которые отправляет хозяину трояна