All'interno dell'account sospetto da cui parte il tutto ho trovato r57shell.php (anche se lui l'ha rinominato con le iniziali del suo nome e cognome :berto: )
Cosa fa il file se lanciato? Bè permette di defacciare Joomla in una vecchia versione, purtroppo il sito in questione è realizzato con quella versione di joomla, ma non ci posso fare nulla se i clienti sono idioti