Alguém sabe como encontrar o arquivo que contém este vírus ?

Já virei tudo, e não estou encontrando.

Utilizei o plugin "Anti Malware"' do wordpress mas tb não encontrou.

Tenta essa ferramenta. https://sitecheck.sucuri.net/

o arquivo está em uma include (não no meu servidor).

apontando para http://ams.icsweb.pk

preciso encontrar qual arquivo .php tem este nome dentro (Sem pesquisar dentro das imagens) .

O link que informei normalmente apresenta o arquivo que foi alterado. 

sim, já peguei com o grep -R

complicado que ainda está enviando e-mail o wordpress e n estou conseguindo identificar o arquivo.

Em 15/10/2016 at 13:40, opencag disse:

complicado que ainda está enviando e-mail o wordpress e n estou conseguindo identificar o arquivo.

Se você tiver acesso root ao ssh, digite o seguinte comando:
 

awk '$3 ~ /^cwd/{print $3}' /var/log/exim_mainlog | sort | uniq -c | sort -nr

Ele ira listar as contas que mais envia e-mails e a pasta onde esta o arquivo.