SPAM impossible à identifier

Bonjour,
Je poste ici, même si à priori mon problème est plus large et implique Joomla.
Un ami pour qui j'ai fait un site de vente en ligne de pièces Harley m'informe que sa boite mail est pourrie par des centaines de mail (undelivery mais aussi des emails valide de spam, qu'il aurait envoyé et se serait envoyé à lui-même).
Pour les premiers ok. Pour les seconds, je pense que c'est la copie d'un email envoyé depuis la Chine, utilisant la fonction "recommander à un ami".
Le tout utilisant la fonction phpmail, ou sendmail ou encore le SMTP.

Dès que l'on autorise (et c'est la que Joomla est impliqué) la fonction d'envoi d'email, c'est un flot de spam qui est envoyé toutes les 10 minutes, en provenance de Chine.
Voilà donc ce qu'il reçoit en en-tête :
Ceci est un message expédié via www.xxxxx.fr/ par : miehuangba <Cette adresse e-mail est protégée contre les robots spammeurs. Vous devez activer le JavaScript pour la visualiser.> et le contenu est en anglais chinois et russe.

Il suffit de déactiver la fonction mail pour que tout s'arrête... MAIS vraiment tout, y compris les envois d'email lors des commandes Virtuemart.

L'objet de mon mail est de trouver un retour d'expérience, car je crois que ce type de script est courant. Mais je ne sais où chercher. Et les logiciels comme sucuri ne trouvent rien... J'ai installé AESecure mais bof...

Autre info : Une mise à jour VM/Joomla est prévue dans une dizaine de jour, car actuellement nous sommes en J26.28 et VM 2.6.20...
Il va falloir se lancer dans une migration sur +7000 articles. Quels sont, à votre avis, les meilleurs outils pour faire une transition efficace...

Merci d'avance !

Alain

j'ai déjà utiliser :
www.daycounts.com/jmigrator

il y à aussi la méthode :
www.virtuemart.fr/forum/mises-a-jour/505...-x-vers-joomla-3-x-x

après la migration attention aux urls et au référencement un outil peut-être super pratique :
extensions.joomla.org/extension/redj/

et d'autres ont peut-être des idées...

Merci de ces précisions. Le jour J approche. Je redoute, d'autant qu'il y avait des compléments (facturations / panier / points de fidélité / etc...)
On va aller voir ça.

Pas de UP mais un retour d'expérience qui peut-être aidera.
On va dire que pour l'instant, j'ai réussi à arrêter la catastrophe.
Je touche du bois.

Première chose : j'ai regardé les stats et les logs pour voir... J'ai notamment vu que la page contact était assez sollicitée. J'en ai déduit que ça pouvait passer par là.
Google Analytics m'a aussi dit que j'avais des visites de Chine et de Hong-Kong (même si je n'ai pas vu ce qu'ils consultaient).

Bref :
- Dans mon .htaccess, j'ai bloqué toutes les IP chinoises et HK. Bon ça ne suffira sans doute pas.
- Dans mon formulaire de contact, j'ai installé un Captcha.
- Dans mon gestionnaire email sous Joomla, j'ai utilisé gmail et les quelques qq.com passés en mail sont toutefois refusés. Et ca évite de se faire bloquer le site chez OVH pour des spams...

Alain