Problema malware (script de criptomonedas)

Hola, estoy intentando limpiar una web que parece tener un malware de minería de criptomonedas. Me avisaron del hosting y en efecto, la web hace llamadas a la dirección binance.org.

Mirando el código HTML, veo que se está cargando un fichero crypto.js y hay un javascript en el head que parece hacer minería de bitcoins o similar

He intentado hacer lo siguiente para detectar el origen del problema:
– Con Duplicator, he sacado una copia de la web y la he descargado en local (el script sigue ahí, así que no es problema del hosting)
– He desactivado todos los plugins y activado el tema por defecto. Sigue saliendo el script.

Una búsqueda de ficheros modificados o que no deberían estar (con Wordfence) no me da ninguna información nueva.

No se donde más puedo mirar que pudiera estar inyectando este código en el head.

¿Alguna pista? Gracias.