Creo que aprovechan una vulnerabilidad en Adobe Acrobat y/o Flash Player para infectar equipos.
En las páginas web ya infectadas utilizan javascript para generar código (document.write), crear un iframe con enlaces a páginas o documentos pdf infectados o redirecciones a otros sitios. Intentan ofuscar el código generando los enlaces a partir de cadenas codificadas en hexadecimal.
Al infectar el ordenador es posible que descargue otros virus/spyware para infectarlo aún más y robar información sobre las contraseñas FTP...
- Elimina archivos temporales
- Revisa tu ordenador en busca de virus/spyware/malware (Avira, Avast, superantispyware, malwarebytes, spybot search & destroy, hijackthis...)
- Actualiza Adobe Acrobat, Flash Player...
- Una vez limpiado tu ordenador modifica las contraseñas de FTP (si utilizas la misma contraseña para otras funciones mejor que las modifiques Ej. Acceso panel de control, bases de datos...)
- Realiza backup de tus sitios.
- Revisa los archivos de tu servidor para ver los que han sido modificados recientemente o si hay archivos nuevos que no deberían estar allí. Revisar el código fuente de los archivos en busca de iframe, document.write y window.status (para que sea más fácil localizar el código inyectado) y limpiarlo.
- Si no puedes analizar los archivos del servidor sin descargarlos (unidad de red, acceso ssh, etc.) intenta analizar los archivos de la copia de seguridad descargada o navega por tus sitios web para ver si el antivirus detecta qué páginas están infectadas.
- Revisa los permisos de directorios y los archivos .htaccess
- Adicionalmente, puedes usar la página Unmask Parasites para que muestre una lista de enlaces externos a tu sitio (los pudes revisar y ver si hay enlaces que no deberían estar)
Aunque no parece ser tu caso agrego una nota de actualidad:
Nota: Durante estos días más de 50.000 sitios han sido infectados mediante ataques de inyección SQL, por lo que sería recomendable informarse sobre los métodos de protección adecuados para evitarlos. Entre esos sitios se encuentran algunas páginas de blogspot...
Artículos de interés:
How to prevent your site from getting hacked. How to repair a damaged site. Website security precautions.