Как вредоносный код попал на сайт
Пароли сменили, но себе-то о них сообщить не забыли…

Всего три варианта:
1) Дырка в php скриптах (или в правах доступа), позволяющая писать на сервер что-либо. (маловероятно)
2) Дырка в хостинге, позволяющая писать что-либо соседям (средне вероятно)
3) Дярка у кого-то с админским доступом к сайту (наверняка)

А выяснять в чём конеретно дырка — задача администратора ресурса.
что говорят логи? access.log?