А если был сохранен отпечаток "системных" файлов, сделанный ну скажем в Integrit или Tripware (или как он там называется), и сохранен на CD-R в отдельном сейфе. Поле этого загружаемся с эталонного CD и проверяем на соответствие с базой, плюс проверить загрузочные скрипты (и прочее).
Конечно это займет много времени и саму дыру не уберет (но так для академического интереса). Конечно проще переставить систему. Да и иногда переставлять нужно, а то забудешь, как это делается ;-)
И конечно же есть "живущие в памяти" зверюшки, но должна быть дырка в которую они залетят.
И есть honeypot, и запись трафика, и прочие плюшки.

А вообще молодцы, в прямом смысле, следят!
А то, в современном мире, уже не знаешь кому "доверять" (плюс паранойя давит ;)
Хотя вопрос о "доверии" это сложный вопрос, сродни тому "А три яблока, это куча?".
Или "30-ть Серебрянников" это много или нет :(
А вообще, не поступай так, как ты не хотел что бы поступили с тобой!
И только ограниченность человеческой жизни (и бесконечность его (чЕЛОВЕЧЕСКОЙ) же "глупости"), дает такие эффекты.
Хотя может все дело в том, что если есть возможность, то должно и случится. Квантовые эффекты никто не отменял (да и "бес" попутал :(

В общем все есть, так как должно быть (как нам нравится)!