Hinsichtlich besserer Strategien:
1) Ich glaube eine Sperre nur der einen Domain wäre eine Möglichkeit -> A Record umbiegen auf Parkplatz.
Und die SMTP und IMAP Server mit einem unveränderten MX Record online zu lassen.
2) Explizite Firewall-Regel auf dem Level-2- oder Upstream-Router einzurichten, um ausgehenden SMTP-Verkehr oder schädlichen Datenverkehr gezielt von der betroffenen IP-Adresse des verursachenden vServers zu blockieren.
Es ist ja nicht immer gleich ein gehackter root Account eines vServers.
Es handelt sich wohl in 90% der Fälle um Wordpressplugins.