lolrofl01,
html разметку или в php файл какой
Да где угодно. Может вообще в изображение пихнули (хотя я не разбираюсь особо в таком).
Меня вообще удивляет, что вы как-то ловите такие вирусы. Когда проект самопис, ну или по крайней мере используется что-то популярное (фреймворки или cms), то такого вообще не наблюдается. А вот если брать что-то крякнутое, то вполне может быть.
В любом случае начните с HTML, потом перейдите к js файлам. Возможно из js как-то вызывается. Потом уже к php.
И по файлам: нужно смотреть не на наличии подозрительных файлов, а изменении кода. Т.е. могут в зашифрованном виде что-то написано или просто напрямую вызывать то, что не должно быть там.