To má byt nějaký 'váš' WEB s redakčním CMS/JOOMLA ? (nejste li na aktuální verzi a mate vyply Auto/UP proveďte ručně aktualizaci na ver:"3.7")
Toto dělají i některé doplňky(Extend)/pop-up, canal RS, (aniž by šlo reálně o skutečnou infekci nebo hrozbu), jestli jste nějaké instaloval tak je zkuste na zkoušku desaktivovat.

Jinak web je cistej, jsem ho komplet pres ftp

To jste stáhl nebo projížděl přes :ftp AV typu KAS pro ISA Server nebo ? Jen soubory, cod, nebo jste stránku spustil a sledoval lokálně na PHP serveru ?
- Může se vám popřípadě hodit : Joomla-Anti-Malware Scan Script JAMSS
- Navod na pouziti : Scan Script (JAMSS) manual