Пока ещё непонятно, сбрутили пароль на FTP или через уязвимости в самой Joomla. Был изменён файл
../www/libraries/joomla/environment/response.php.

Отличающиеся места закинул на Pastebin. Первый кусок кода - до инцидента, второй - после.