In realtà in maniera un pò più macchinosa: prima ho fatto una copia del sito in locale, quindi ho eleminato uno alla volta componenti e i plugin che avevo installato verificando di volta in volta con l'estensione HTTPFOX di firefox se il sito continuova a comunicare col quel server.
Eliminati tutti i componenti di terze parti ho scaricato Joomla dal sito ufficiale (ovviamente la stessa versione che avevo installato sul mio sito) e con WinMerge (come suggerito da mrcnet) ho confrontato i files. Qualcuno, non so come, era riuscito ad aggiungere una riga "criptata" col comenado base64 nel file index.php.