Кому-нибудь удалось выяснить, куда еще подгружается исполняемая вредоноска? Я делал бекапы, но файлы все равно восстанавливались. В моем случае файл siteheads.php подгружался до директории с файлами сайта, и оттуда снова восстанавливался. Удалил, сделал бекап, вроде чисто