Lo que no entiendo es que si supuestamente tu amigo te da sus servidores porque sigues a ciegas tratando de adivinar que fue lo que paso. Si te pasa un log como te dije antes puedes saber perfectamente que archivos se tocaron, que se subió por ftp, si se te vulnero la clave por fuerza bruta y demás (si esta activo, el servidor monitorea todas las respuestas que dio ante cada demanda tuya o de cualquiera que entro en el). Por lo que se lee en el hilo estas barajando muchas posibilidades cuando deberías primero leer tu server y detectar concretamente lo que te paso. A partir de esa información concreta podrás saber que caminos tomar, sino esto te seguirá pasando una y otra vez. Por ahí tu amigo tampoco tiene esa información porque a su vez contrata servidores a un host que no le da los logs.
Solo estoy conjeturando y espero que resuelvas el problema.
Saludos