Подмена index.php где искать?

Question

[fStrange]

index.php в корне сайта меняется на зараженный. Серверными средствами. Только 1 файл. Практически мгновенно, менее секунды. Удаляю по ssh, обновляю, он уже на месте. Т.е. он откуда то такой копируется.

Не по фтп. Не по http . проверено.
В crontab пусто.

Куда копать? Обычный хостинг.

Updated:
Также в .htaccess добавляется строка. .htaccess в отличие от index.php не заменяется полностью, только добавляется строка.

RewriteRule ^\/(balladic)([0-9]+)(.*)\/bs([0-9]+)\/(.*)$ ?balladic$2=$4&%{QUERY_STRING}[L]

Answer 1

[Анатолий]

Залейте на сервер файлы и уберите права доступа на редактирование для web-сервера и php.
Кроме папки uploads, права оставьте.
Попробуйте сменить тему, может от туда ноги растут.

PS. Но WP не сможет обновляться, так что руками придется.