Было у меня такое, качал двиг с xxx.xx, как потом выяснилось админ специально внедрял в CMS вредоносный скрипт редиректа. С компа норм заходило а вот с телефона сразу редиректило на скачивание apk файла под видом обновления браузера. Я подменил на компе юзер агент на андроид, отснифал запросы, выяснилось что редирект идет на левый сайт, скачал дамп и искал через тотал в файлах название этого сайта но так и не нашел, в базе тоже не был. Вообщем ко только не искал вредный скрипт на моем сайте все безуспешно, пришлось качать с проверенных источников DLE и делать все по новой, благо сайт был молодой и новостей не много было, востановил за день...