Заменяют домен в коде страниц - Безопасность сайтов на Joomla

Столкнулся вот с такой неприятной штукой.
Сайт взломали и что-то где-то пропатчили в Joomla 1.5.26, теперь на некоторых страницах домен http://domain.ru/ заменяется на http://pornoxxxx.net/ (все ссылки).

Вопрос: кто-нибудь с подобным сталкивался? Где подобное искать?

Попробовал сравнить с оригинальным дистрибутивом 1.5.26 - ничего криминального не нашел. Всякие index.php, framework.php и т.п. посмотрел - все в порядке. Шаблоны тоже разные пробовал - проблема остается.
В кэш складывается страница уже с подмененным урлом. Такое ощущение, что где-то в системе на уровне работы со строками или в движке кэша делается.

Буду благодарен за наводки. Наверняка проблема не единичная.

Мысль такая: если ставили себе что-то из "левых" источников, могли сами себе с этим всунуть "левый" плагин.

Однозначно, что используешь варез

Однозначно, что используешь варез

Не угадал.

Мысль такая: если ставили себе что-то из "левых" источников, могли сами себе с этим всунуть "левый" плагин.

Нет, проблемы начались после взлома сайта.

Нет, проблемы начались после взлома сайта.

Одно совсем не исключает другое. Возможно, что и взлом был связан с той же причиной.

Попробовал сравнить с оригинальным дистрибутивом 1.5.26 - ничего криминального не нашел.

Сравнивали как? Отдельные файлы? Весь движок? По количеству файлов? Их размеру? Делали побайтное сравнение?

Если стоит "голая" Joomla, и при этом все файлы совпадают с официальным дистрибутивом по количеству и не отличаются при побайтном сравнении, тогда вариант "пропатчили" отпадает. Если всё же искать дыру у себя, то я бы побайтно сравнил с дистрибутивом (могу посоветовать для этого Beyond Compare).

Не угадал.

опиши, что стоит на сайте, версии, т т д

ссылку можно?

все что связано со взломами и прочим на сайте теперь в отдельном топике
http://joomlaforum.ru/index.php/topic,246899.0.html