Нужно закрыть уязвимости на хостинге. Поменять пароли, проверить БД и закрыть возможные "дыры", через которые постоянно проникают злоумышленники и заражают файлы рекламными троянами.
Создают зашифрованные 349583475_1.ico файлы
и ссылаются на них с index-ных файлов.
Пишите по стоимости и срокам работы.
UPD:
prntscr.com/jhlesn такой код добавляют в php-файлы.
prntscr.com/jhljyi листинг файлов на пустом домене всё создано трояном.