Já si myslím, že to bude něco z Tohoto. Nedávno jsem to řešil známé. Ale ona má asi zahmyzený počítač a v momentě kdy se připojí na FTP, přenáší to tam znovu či jak. Ona tam mla pro změnu javascript za </body>.
https://www.onehelp.cz/onebit/kb/stranky-napadeny- virem