Gracias Sabogal.

Efectivamente tenía virus en la máquina que no habían sido detectados, me habían robado la contraseña de FTP! Los virus los detecte con Avira versión gratis.
Comprobé las entradas no autorizadas en el log del servidor. Seguramente un robot inyectaba a intervalos de tiempo el código malicioso. Para quien le ocurra lo mismo quizás el modo más rápido de proteger el blog sea cambiar la contraseña de FTP y las otras desde otra máquina que sepa segura, para interrumpir el trabajo del robot, e inmediatamente después ocuparse de la limpieza de la máquina contaminada.

Reinstalé todo WP menos WP-Content.
Pedí la revisión a Google y quitaron el cartel de «Sitio Peligroso»

Uffff … bueno, de todo se aprende!
Gracias por la ayuda y saludos,

fum