С переименованием папок wp-content, wp-includes - гимор. Особенно если у тебя не парочка модулей, а набор. Сильно захотят узнать - узнают. Намного лучше сделать ложный след, и указать совершенно другую версию по известным палевным местам вроде этих: readme.html, ?feed, docs/changelog.html, etc...

Если ты скрыл, то особо упорные и "желающие" будут искать методы, а как известно нет ничего невозможного в этом плане, в этой войне все методы хороши. А вот если этот "желающий" увидит ложный след(но ессно не знает об этом), то следовательно все его попытки будут напрасны в корне, а у вас будет время на обнаружение какой-либо нестандартной активности. Есть достаточно много скриптов с алертами на все подозрительно-происходящее: запросы несуществующих/закрытых файлов, ошибки sql, etc. Достаточно раз в несколько дней проверять их. У меня к примеру стоит своя наработка (делали вьетнамцы ) и при какой-либо подозрительно активности мне приходят уведомления на мыло, а так же каждые 120 часов отчет.