prima di eseguire aggiornamenti su un sito infetto, procurarsi un pacchetto Joomla della stessa major version e decomprimerlo.
0) mettere il sito "fuori uso" inserendo un index html o nominando un attimo l'index.php in txt
1) eliminare la cartella libraries da remoto e caricare la cartella libraries dal pacchetto nuovo.
2) stessa cosa con tmp e cache.
3) Dovete trovare la shell... se siete fortunati è un file strano nella root (perchè è lì che si copia la prima volta e se non la spostano lì rimane)
4) con phpmyadmin svuotare la tabella sessions e se memorizzate su file eliminatelo
5) rimettere in condizioni di ripartire il sito togliendo ciò che avete fatto per renderlo inutilizzabile.
6) procedere immediatamente con l'aggiornamento.

è il peggiorissimo

guarda che simplepie è usato in joomla e sta nelle librerie legacy.

Per portare a termine l'esploit servivano dei vettori e simplepie faceva parte di questi

quì è spiegato benissimo come condurre l'attacco e anche perchè è stato fatto così
https://blog.patrolserver.com/2015/12/17/in-depth-analyses-of-the-joomla-0-day-user-agent-exploit/

io credo tu abbia ragione infatti, ancora una volta cerca nella sessione.

Il motivo l'ho spiegato in "sicurezza" e ci arriverebbe un bambino, non serve Mitnick.
Basta aprire netbeans e cercare tutte le var HTTP o SERVER e ti accorgi che nessuna viene filtrata. Ovviamente non sono tutte sfruttabili, l'ip non è spoofabile ma altre si eccome... X_FORWRDED_FOR è una di queste.
Non è semplice arrivare all'esploit.

devi solo usare il translate di google, non è difficile. Il log ti sta dicendo cosa dove quando e perchè

Pattern #23 - shell command execution from POST/GET variables --> found 1 occurence(s) in file ./libraries/joomla/input/cli.php
Details:  "Found direct shell command execution getting variables from POST/GET, which is highly dangerous security flaw or a part of malicious webrootkit"
 Line #: 20... executable that was called to run the CLI script. * * @var    string * @since  11.1 */ public $executable; /** * The additional arguments passed to the script that are not associated *  ... --> ./libraries/joomla/input/cli.php is a file. It was last accessed: 2015-05-12T10:29:44+02:00, last changed: 2015-05-12T10:29:45+02:00, last modified: 2015-05-12T10:29:45+02:00.
File permissions:0755