Как избавиться от поп-ап?

выпал из онлайн работы на всё лето, а сейчас обнаружил на одном из блогов что при переходе по рефлинку выскакивает поп-ап чей-то.
Что делать чтобы избавиться? Куда смотреть?

/wp-admin/
wp-admin/theme-editor.php

там смотришь файлы, но скорее всего в header.php

оказывается даже при простом открытии морды блога в браузере всплывает эта зараза про гринкарту((((


вроде нет ничего нового в header.
как он вообще прописывается этот поп-ап?
может кто напишет для примера, чтобы хоть знать что искать?

скорее всего в зашифрованном виде в теме. Ищи строки связанные с base64_decode и eval

не могу найти таких записей((
всю тему перерыл.

кинь в личку линк или код главной станицы, помогу чем смогу.

отправил

Отписал.