а он подключает какой-нить жс?
Он грузит тебе файлы вирусные на сервак, код который это делает уже зашит куда нибудь в ядро вп, в файл который 100% выполняется при запуске сайта или еще в какую директорию, возможно в другие проекты которые там есть, в общем штука не приятная, 100% лечится либо скуррулезным просмотров всех файлов на сервере либо полной чисткой