Как скрыть признаки использования YII2?

Да, конечно. Для начала вам необходимо узнать как конкретно эти расширения узнают тот или иной фреймворк. К примеру, указанный вами wappalyzer описывает yii следующим образом:

    "Yii": {
        "cats": [
            "18"
        ],
        "env": "^yii$",
        "html": [
            "Powered by <a href=\"http://www\\.yiiframework\\.com/\" rel=\"external\">Yii Framework</a>",
            "<input type=\"hidden\" value=\"[a-zA-Z0-9]{40}\" name=\"YII_CSRF_TOKEN\" \\/>",
            "<!\\[CDATA\\[YII-BLOCK-(?:HEAD|BODY-BEGIN|BODY-END)\\]"
        ],
        "script": "yii.*\\.js",
        "icon": "Yii.png",
        "implies": [
            "PHP"
        ],
        "website": "http://yiiframework.com"
    },

взят отсюда. Описание каждого поля есть в документации.

Из написанного выше, понятно, что как минимум надо:

1. скрыть js с названием yii.js
2. переименовать csrf_token
3. убрать надпись powered by yii framework
4. Убрать или переименовать глобальную js переменную yii(пункт env)

Возможно проще убрать ответ сервера о том, что используется PHP.

Все это конечно верно исключительно для одного инструмента, и только для текущей версии.