цепочка работы трояна была такая
mirpokera->
хттп://howtooth.com/help/css/doc/ru1tr.gif->
хттп://web-money.cn/arm/index.php
в конце цепочки сейчас кроме смайлика ^_~ ничего нет
правда есть вероятность, что скрипт проверяет параметры заголовка http запроса и кому попало трояна не пихает, а только если находит тип браузера необходимой версии.
А тем у кого не определился могу только сказать, что уже много раз видел подобную схему: <script>document.write(String.fromCharCode(чис� �а))</script > с редиректом через промежуточный сайт, так что ищите в коде страницы подстроку ".fromCharCode"