どのファイルに埋め込まれているかが分からない状態ではweb上に置いておくのは危険だと思います。
とりあえず、concrete5を動かさなくするには、concrete5のルートフォルダにある index.phpのファイル名をindex.php1 などに変更すれば動かなくなります。

システムをDLしても大丈夫でしょうか。

Javascriptですので、ダウンロードするだけなら大丈夫です。ブラウザで開くと実行されて感染する恐れがあります。いずれにしても、マルウェアを駆除できるソフトをインストールしておいた方が安心でしょう。