Scava, scava ed ecco la causa:
wordpress.org/support/topic/180772

Si tratta di uno script subdolo: un plugin travestito de immagine che porta tutti gli utanti che arrivano da google/google reader su altri siti. (anyresults per sempio)

Sono ignorante di queste robe.. ma questo è più o meno il succo.
Si risolve(rebbe) così:
wordpress.org/support/topic/179395?replies=2#post-770581

A quanto ho notato a mie spese... l'utente resta cmq infettato, sebbene risolta la cosa, l'infezione resta sulla macchina dell'utente... che non potrà più arrivare sul sito.

Anche l'ultima versione di WP è stata attacata.
Non resta che fissare temporaneamente il problema sul proprio blog e avvisare tutta l'utenza di fare una bella scansione con, per esempio, Spybot (www safer-networking.org/it/download/index.html)

Qualcuno ha altre notizie?