Sputnickзапретить создание на сайте скриптов .js и файлов .swfА кто их создает? И каким образом?

Sputnickкороч дело табак...(Отчасти Вы правы, ситуация хреновенькая, мягко говоря.
По запрету на создание файлов - это фигня полная. Завтра зловред начнет размножать *.php, *.jpg - и что, откажитесь от картинок или скриптов? А, он уже начал....

Что касается ограничений через .htaccess. В принципе, можно замутить запреты/разрешения только к определенным файлам. Если очень хорошо знаете движок - можете попробовать.

Что еще....?
Движок то обновляете вовремя, надеюсь...?
Можете еще нелегитимные preg_replace поискать.
Грохнуть все (именно грохнуть все) и восстановить из заведомо чистого бекапа. Если таковой имеется.
Курить логи вебсервера, ftp и ssh, попутно медитируя над датами изменения файлов.
Проверить несколькими антивирусами. Тот же ClamAV нередко находит пхп-шелл. Нередко - далеко не значит ни 90, ни 50%. Просто находит что-то зловредное. Не факт, что найдет именно Ваш вариант.

Удачи в нелегкой битве с врагом!