У нас вчера на тестовом домене произошла та же самая фигня.
Судя по логам, по фтп просто всем js файлам в конец дописали вирусняк. Т.к. был скомпроментирован только пароль юзера, имеющего доступ к 1 домену, только там это и произошло… Пароль был только у того юзера, так что всё довольно таки очевидно)