Fin del culebrón. Al fin he dado con el plugin que activaba el código malicioso. Aviso a navegantes en pateras de WordPress, el plugin no era otro que Comment QuickTags, el hack que habilita una barra de edición de etiquetas en los comentarios (poner negritas, cursivas, enlaces…). Me ha costado lo mío, pero creo que ya está todo solucionado. He vuelto a activar el wp-head y todos los plugins corren a la perfección. el antivirus no me canta nada y la inspección de javascripts me dice que ya no habita entre nosotros el inline script que redirigía a us-counter.com (¡no visites esta dirección, salvo que asumas la responsabilidad!), desde donde se intentaba descargar el troyano.

Muchas gracias a todos los que reportaron el problema y especialmente a Maty que llevó a cabo una excepcional tarea de investigación. Habrá que dar parte al creador del plugin y al equipo de WordPress por si se trata de un agujero de seguridad del CMS.

Como ya digo, el bug sólo afectaba a los usuarios de Internet Explorer con JavaScript habilitado y sin antivirus en su sistema, pero creo que ni siquiera ellos se merecían tan desagradable y peligrosa actividad. Espero que esto pueda ayudar a alguien que se encuentre en la misma situación que yo me encontraba hasta hace unos minutos.

Como es preceptivo en estos casos, si detectas algo extraño, no dudes en avisar. Gracias.

Actualización (10 may-11.33 h): Owen Winkler, el autor del plugin, me contesta al correo que le he enviado diciendo que ha revisado a conciencia el código del plugin y no ha encontrado nada raro.