Wirus na stronie - prosze o pomoc

[stelmach]

Prowadzę dwie witryny szkolne oparte na joomli - początkowo były postawione na jomlii 1.7 a pozniej wykonałem migracje do 2.5.

Kilka dni temu po wejsciu na stronę kasperski wyswietlil komunikat nastepującej treści (druga witryna jest zdrowa):

Prawdopodobnie zainfekowany szkodliwy odsyłacz 881E6B8CDF1ED08F szouf.auppwsgnox.webhop.biz/g/861771924433222.js Wysoki
Przy próbach wejscia na stronę lub odswieżenia odresu - nadal to samo - jednak koncówka jest generowana z inną nazwą.

Przez ostatni miesiąc nic nie istalowałem - dodawałem tylko same artykuły do aktualności.

Hosting postawiony na OVH.

Do kopiowania danych na serwer używam fillezilla (niestety z braku doświadczenia trzymane było tam hasło).
wyczysciłem historie i wszystkie dane z fillezilii
Zeskanowałem obydwa komputery w domu i wszystkie nosniki Kasperskim - poźniej combofixem
Dyski zostały sprawdzone i wyczyszczone.

Używam akeeba do robienia kopii - ostatnią mam z początku lutego - wtedy nie było komunikatów o wirusie.

Po wyczyszczeniu komputerów ściągnałem całość witryny na dysk i zeskanowałem - Kaspersky nie znalazł nic.
Zrobiłem kopię witryny z wirusem na wszelki wypadek tak aby mozna było na wszelki wypadek przywrócić i badac zmiany w plikach (żałuję że tego nie zrobiłem od razu - byłoby wiecej informacji).

Usunąłem całą zawartość serwera - załadowałem kopie z lutego - pouzupełniałem brakujące artykuły (kupa roboty) - po wejsciu na stronę - brak informacji o wirusie.
Pozmieniałem hasła na uzytkowanika (nie był to admin lub administrator lecz zupełnie inna nazwa zawierająca duże i małe litery i 13 znaków), do FTP na bardzo długie i skomplikowane. Do bazy danych nie mogłem zmienic bo witryna nie odpowiadała po zmianie - można to zrobić o ile sie nie mylę przy odtwarzaniu kopii za pomoca kickstartu akeeba - lecz za pozno się pokapowałem.

Cieszyłem się chwilą bez wirusa dosłownie kilka godzin - niestety nadal ten sam.
Odinstalowałem wszystkie componenty typu liczniki, zegary, pogode, translatory itp
Powyłaczałem moduły z linkami na stronie - teraz po wejsciu widac tylko liste artykułów i logo.
niestety wirus nadal wystepuje.

Dziwne jest to że że niezaleznie od tego czy witryna jest włączona czy wyłaczona wirus nadal wyskakuje przy próbie załadowania strony.
Komunikat wystepuje zarówno na zapleczu jak i froncie, niezaleznie z jakiej przegladarki. Dziwne jest tez to że druga strona nie jest zarażona a logowałem sie tam w tym samym czasie co na zarażona i wgrywałem tam zdjęcia przez ftp.

Prosze o konkretne porady jak sobie z tym poradzić a nie opinie że sam jestes sobie winien bo to i tamto...
Kto pracuje w szkolnictwie wie że szkole nauczyciel informatyki musi byc genialny we wszystkim (nauczyciel, programista, sieciowiec, konserwator) a ja niestety uczę jeszcze dwóch innych przedmiotów i pracuje w dwóch szkołach gdzie powielam te funkcje i naprawde ze wszyskim nie wyrabiam i nie jestem w stanie wysrubowac danej dziedziny na blaszkę bo jak sie jest od wszystkiego to jest sie do niczego. Wiecie równiez że w szkołach nie ma kasy na komercyjne zabezpieczenia np dla joomli - długo negocjowałem ja domene i hosting.

Czy może to byc wina hostingu?
Czy wirus może siedzieć w bazie danych?

Oczytałem sie już tyle artykułów na podobne tematy i probowałem po czesci wszystkiego co mogłem ale nic nie pomogło.

Nie usmiecha mi się stawiac witryny na nowo bo czasowo zejdzie mi z tym pewnie z 1,5 tygodnia - jesli miałbym odtwarzac wszystkie artykuły, podstrony itp.

Proszę o pomoc.

Czy mam podac link do strony czy nie robic tego ze względu na wystepujące tam zagrożenie