По скрипту не подскажу, но если озадачиваться защитой до такой степени, то тогда уже с проверкой размера файла или даже контрольной суммы, потому как иные шеллы умеют в изменение времени модификации.

а как? если это от сервера идет - время мол. файла

Технических подробностей не знаю, наверное, смотрят текущее время модификации файла, переводят серверное время, модифицируют файл, меняют время назад на актуальное

Могу ошибаться, но давно использовал связку inotify с maldet/clamav.
inotify собирала список изменений, писала лог в файл и этот лог подхватывался clamav-ом для проверки.

Замечание модератора: Эта тема была закрыта автоматически ввиду отсутствия активности в ней на протяжении 100+ дней. Если Вы считаете ее актуальной и хотите оставить сообщение, то воспользуйтесь кнопкой или обратитесь к любому из модераторов.