Вопрос по защите хостинга

Конечно можно, супер ума для этого не нужно и оставить лазейку можно легко и практически неуловимо. К примеру дописать в какой-то плагин панели ISP строчечку отправки данных (а их перехватить из плагина панели ох как просто, особенно по вызову "before") на какой-то адрес и нкиакой антивирус или чем вы там сканируете не поможет, панель выполняет ряд GET штатных запросов и не отличишь. Или где-то оставить себе аккаунтик под именем типа "dovecot", назначив ему шелл. Изощрятся можно до бесконечности, особенно имея перед увольнением полнейший доступ. Это как целое искусство мести)) Так что ваша параноя может быть вполне оправданной. Цените своих кадров! Если намерены уволить, так увольте с премией и побольше, а еще и работу ему найдите сами - от этого может зависеть весь ваш бизнес! Откуда вы знаете что он не слил все БД ваших клиентов или еще что?

сперва нужно выяснить как они туда попадают и только потом лечить и латать иначе смысла нету.

сейчас люди достаточно ленивы поэтому редко встречаются вставки в код сайта а не сторонние файлы и метаданные не меняют, все находиться легко и просто финдом по дате модификации.

"Начать можно с поиска по files_man(), а продолжить айболитами и тому подобными."

я считаю это не универсально - пустая трата времени