La cosa più probabile è che si trovi all'interno di una delle cartelle ./images ./logs o ./tmp che di norma sono scrivibili, e la maggior parte degli attacchi viene messa là su Joomla.
comunque per fermarlo non basta mettere il sito offline da joomla, devi proprio spostare la web root (chiedi al tuo provider se non sai come fare, oppure chiedigli direttamente di ripristinarti il backup di qualche giorno fa e risolvi!)
Altrimenti devi entrare in ssh (o alla peggio ftp abilitando la visualizzazione di file nascosti) e controllare una per una le cartelle, finora ho sempre trovato attacchi facilmente identificabili.
