Первым делом нужно просмотреть журналы сервера на предмет следующих строк:

mosConfig
http://
wget
perl
_REQUEST

Чаще всего наличие этих строк в журналах сервера указывает на факт взлома. Вы определите IP-адрес злоумышленника. Закройте доступ к вашему серверу с подсети злоумышленника. Это не панацея, так как завтра вас могут взломать с другой точки земного шара, но как временное решение вполне нормально.

Восстановите Joomla из резервной копии. Ведь вы же делаете ее? В некоторых случаях резервные копии делает хостинг-провайдер. Тогда нужно обратиться к нему и попросить восстановить более ранее состояние сайта. Любой уважающий себя хостер делает резервные копии на случай выхода его оборудования из строя.

После того как сайт восстановлен, посетите сайт www.joomla.org. Возможно, уже доступна новая версия Joomla. Если это так, обновите Joomla. Затем просмотрите, какие нестандартные расширения (которые вы устанавливали сами) у вас установлены. Посетите сайты их разработчиков: возможно, есть обновления расширений. Обязательно обновите все расширения. В большинстве случаев обновление помогает закрыть текущие дыры.