@flotte Ich kann den Code leider nicht mehr rausnehmen weil die Bearbeitungszeit abgelaufen ist.
Die Seite (die ganze Domain) wurde bereits von Strato abgeschaltet. Die Seite ist also nicht mehr online ud kann nichts verbreiten.
@ Jörg
Wenn ich nur wüsste welche Version das ist, dann könnte ich die existierenden Dateien mit saubere überschreiben und nur die anderen manuell säubern.
Es sieht aber so aus, als hätte sich der Schadcode stets immer nur in den Seitenkopf gesetzt, ohne den Rest des eigentlichen Codes zu beeinflussen. Dabei hat er den restlichen (eigentlichen) Code vom Parsen ausgeklammert indem er ein php-Schlusstag davor gesetzt hat.
Alle Dateien, die ich bisher überprüft habe, wurden auf diese simple Art und Weise verändert. Wie gesagt - ich habe mir als Vergleich eine neue Joomla-Installation von der Jommlaseite gezogen. Die dürfte nur eine höhere Version sein und nicht überall passen.