Joomla zombie como procesador de cripto-mineria

Hola amigos joomleros.
Les comparto mi experiencia con un inusual evento, en el que secuestraron la CPU del servidor con un proceso que por ahora no estoy seguro que hace, pero creo que tiene que ver con cripto-minería.

Hallazgo en el Webmin:

2170 web45 185 % ./xmrig -B -l xmr.log -o stratum+tcp://fr01.supportxmr.com:80 -u 425T1pxKJyjGxvC ...

En el sitio:

grep -lir 'supportxmr.com' ./
./media/editors/codemirror/mode/tornado/xmr.log
./administrator/components/com_rokgallery/assets/application/joomla/2.5/xmr.log
./plugins/content/contact/xmr.log

Hallazgo:

el ejecutable xmrig lo pusieron en:

./media/editors/codemirror/mode/tornado/xmrig
./administrator/components/com_rokgallery/assets/application/joomla/2.5/xmrig
./plugins/content/contact/xmrig

Limpieza urgente:

Borrar los respectivos directorios

NO se como lo hicieron, ya que tengo el Joomla Actualizado con la ultima version, sin embargo toca Investigar huecos de bulnerabilidad por donde se hayan podido meter, es posible que un modulo o plugin de una version vieja de joomla