Luego de varias revisaciones comparto contigo Juan.
Una vez enviada la consulta igualmente he seguido trabajando revisando por FTP y por PHPMyAdmin con la intención de conocer si alguna fecha o permiso había tenido un cambio desde que actualizé a 1.5.26 y no encontré absolutamente nada.
No hay archivos raros, no hay cambios visibles en ningún lugar.
La dirección que está utilizando el spamer, que está enviando miles por día es Esta dirección de correo electrónico está siendo protegida contra los robots de spam. Necesita tener JavaScript habilitado para poder verlo., dirección que no existe. Puntan es el nombre de raíz de mi servicio y de ahí se agarró, imagino que con algún script oculto.
Con mis respaldos antiguos no soluciono nada porque la carpeta MAIL está en la raíz y Akeeba levanta los respaldos desde public_html en adelante pero nada que esté en la raíz excepto public_html. Por lo tanto por ahí tampoco se soluciona. Los respaldos están limpios de esta intrusión.
Es claro que la única forma de solucionarlo es: borrar todo desde la raíz, reinstalar, y luego a eso volcarle un respaldo para volver el tener el sitio como ahora, que bastante trabajo dio.
Te mando un saludo Juan
Gracias por tu atención
