Joomla Vulnerable log detectar ataque

hola grupo , buenas tardes
tengo un problema tengo un cliente utilizo  un servidro  CPANEL  y tengo un cliente q tiene una version de joomla  1.5 

el caso es que  cada dia es hackeado   es decir suben archivos al sitio    y estos son archivos q generan spam

y los invocan ,   desde diferente IP y empiezan a enviar spamm   

tiene  rsfirewall  ademas esta mod_security activado   

como puedo saber  que fallo es el q estan usando para subir estos archivos ??

lo q hize fue bajar el sitio copiarlo en un localhost  , quitar el rsfirewall  y  pasarle  joomscan  y otros   pero  ME DETECTA    TinyBrown   vulnerable  pero los exploit q probe no funcionaron


estoy seguro que debe haber algo mas que esten aprovechando.

Descarga la última versión de Joomla, la 3.6 y no instales plugins ni themes.
Déjalo así unos días y nos dices.

Saludos

Analiza en tu server, que archivos dejan alojados, tal vez pueda darte pistas