du kannst im prinzip noch froh sein, dass die es nicht besser gemacht haben, also ohne den fehler zu produzieren. zum Warum : ich habe jetzt nicht vor auf die seite zu sehn die da in dem iframe von der http://66.85.144.xxx/url.php aufgerufen wird, zu erwarten ist aber, dass dort schadcode ausgeführt wird. durch einen "trojaner bei deinem kunden" kommt das nicht, jemand hat zugriff auf deinem shopcode.
ich würd mich jetzt an deiner stelle zunächst um schadensbegrenzung kümmern, hast du schon deinen provider kontaktiert?