Конечно же, хостер должен предпринимать все от него зависящее для защиты своих серверов и сайтов, на них расположенных. В том числе и от вирусов. Кроме того на сервере должен быть файервол, отсекающий (блокирующий) подозрительные IP с целью предотвращения DDoS атак. Хотя с последней задачей справляются немногие.
Однако же нельзя снимать ответственность и с владельцев сайта за их содержимое. Иногда вольно или невольно попадающее в код страниц или имеющиеся на нем файлы.
Перечислять такие случаи было бы долго, но и сама пару раз попадала в неприятную ситуацию.
Один раз участник форума залил файл, который, пусть по ошибке, был признан завирусованным. Отключила эту функцию и все. Другой раз взломали и подсадили эксплойт. Пришлось чистить и усилить защиту.
Сейчас вот отключила даже возможность оставлять активные ссылки.
Причина? Угроза одного не в меру агрессивного типа устроить CSRF атаку.
Сделает или нет, но береженого Бог бережет.
И в случае чего хостер тут будет ни причем.
Так же как он и не будет виноват, если владелец сайта сам размещает у себя вредоносные коды и скрипты. И такие есть.
Вот полюбуйтесь на списочек с форума Web of Trust: Сайты, явно распространяющие вирусы и трояны.
169 постов и в каждом не по одному или два домена.
P.S.
Дополнительно еще ответила в теме Как защитить сайт от заражения?