Справедливости ради поправлю по двум пунктам:

>> и в железо - преценденты уже такие были, тогда уже даже и переустановка
>> системы не поможет
> В железо - сложно. Низкоуровневая ранняя инициализация железа типа чипсетов - кастомна,
> и биос специфичен для своей мамки. И даже ранний бутблок проверяет
> как минимум чексумму биоса. Мало-мальски универсальный троянец получится нереально геморным
> в написании. Как самый максимум, был WinCIH но все на что
> его хватало - просто стереть BIOS. Это намного проще, тем более
> если ограничиться 1 чипсетом как он и делал :)

Есть уже прототипы, которые себя в BIOS пишут. Не любой матери — но большинства распространённых. BIOS'ы нынче на x86 жирные и не сильно отличающиеся у одного производителя пошли, несколько килобайт места найти не проблема. Универсальные прошивальщики, знающие о многих BIOS'ах разом, видели? Дальше, думаю, понятно.

>> Больше волнует то что неизвестно на сколько достоверно в софте линуховом -
>> исходники могут быть одни а бинарники в репазитарии лежать другие и
>> проверить это практически не возможно
> Подменить бинарники достаточно сложно - они подписями обвешаны. Просто замена бинаря на
> сервере приведет к визгам пакетного манагера что подпись не совпала, отсутствует
> или ключ неизвестный, что очень быстро спалит хацкера при практически нулевой
> результативности атаки.

Да, вот только эти визги сработают лишь при обновлении софта. Поздновато будет. Ежедневные (или даже ещё более частые) проверки целостности — уже лучше, особенно если заблокировать изменение файлов, отвечающих за выполнение проверок, для всех, включая рута. Правда, обновление системы при этом станет более гиморным, особенно в большинстве Linux-дистрибутивов, где система вся состоит из пакетов. Ну да это уже совсем отдельная тема....

> Кстати был случай когда в программе (inrealircd) подменили именно сырец, впихнув довольно
> кондовый бэкдор. Гентушники даже успели его пересобрать и раздать :))

Да таких случаев уже не так и мало. В своё время даже исходники OpenSSH подменяли — взломали ftp.openbsd.org (проекту OpenBSD он не принадлежит и поэтому не контролируется; работает машина, кажется, на Солярке). Инцидент оставался незамеченным около пары суток.