На каком сервере почтовый ящик админа?
Чем он просматривает почту?
Присутствует ли реклама при скачивании письма вручную telnet-ом?
Все ли письма содержат рекламу, какие условия наличия рекламы?
На худой конец, если в php затесался вирус, есть debug_backtrace, register_tick_function и declare(ticks=1), и с их помощью писать каждый шаг в файл, а потом анализировать, в каком файле и где там вирус рекламу подключает.