Чужой код в коде форума? Где искать?

[JeruS]

Возникла следующая проблема...
Если пользователь получил личное сообщение, то стандартно вылетает табличка:

"Вы получили ЛС. Открыть в новом окне. ДА - НЕТ"

В случае, если пользователь ответил "ДА" то паралельно с открытием нового окна с ЛС, производится загрузка файла с именем index.php . Это все было засечено на компе  типа "Макинтош" ему на этот файл начихать.

Другой пользователь после перезагрузки (WinXP) остался без системы.

Отследить пока какой файл был изменен никак не могу.
Форум пока перевел на тех.обслуживание.

Хостер (Rusonyx) внятной помощи не обеспечивает. Логов изменения файловой структуры не ведет.

Восстановить из бэкапа - это крайний случай. Но необходимо найти причину.

http://www.vmax-club.ru/forum [www.vmax-club.ru/forum]
Версия SMF 2.0 RC1.2

Установлены моды:
   
1.    SMG Russian Translation    2.0    
2.    SMF Media Gallery    2.0 beta 4    
3.    Quick PM    1.0    
4.    Highslide Image Viewer    1.5    
5.    dQuoteSelection    2.2    
6.    Aeva ~ Auto-Embed Video & Audio    6.9.101    
7.    Load Standard Language    1.0.2    
8.    Ad Managment    2.3.5    
9.    Admin Notepad    1.0    
10.    Global Headers Footers    2.0    


На том же хостинге стоит субдомен с интернет магазином.
Имеется несколько флэш-банеров со скриптами. Говорят, что это один из возможных путей взлома.

Заранее спасибо за помощь.
По поиску такого не нашел

[Макар]

2, 6 копай
у меня третьего дня из за автовставки видео через аеву полез код стороннй
возможно в ней нашли дырку

[JeruS]

спасибо за предупреждение.

но у меня несколько иная проблема.