ИМХО, тут все упирается в права. Если некая зараза с помощью некоего эксплойта получает достаточно прав (в идеале - рута), то нет ничего невозможного в перехвате записи на диск, дописывании себя куда надо и т.п.

Такая возможность, например, открывается за счет подмены ссылки /llib/libc.so.6 на что-то свое, где функции read() и write() выполняют какие-нибудь дополнительные действия. Вообще - подмена ссылок на стандартные библиотеки - широчайшее поле для вирусописателя. Ничего "дописывать в существующий файл" не надо.

Да, кстати. "Целостность" и "полнота"  ссылок в /lib и /usr/lib никем стандартно не проверяется и вообще не контролируется.

возможность существования вирусного кода под Linux может доказать не только эксперт в области информационной безопасности, а любой человек разбирающийся в методах подключения тех же модулей ядра хотя бы.
особенно остро этот вопрос стоит у пользователей Ubuntu, т.к. это обычно по природе своей люди с еще не искареннёными привычками офтопика и тянут в свою систему всё подряд, запуская это "всё подряд" от рута.
простейший пример: http://linuxforum.ru/viewtopic.php?id=843
этот пакет может например просто поставить вам свой libc6 или модуль ядра и творить любую непотребщину.

system-root, когда у тебя есть права админа, ты что угодно можешь поставить, какую угодно библиотеку, какой угодно модуль ведра.
Но когда нет - не можешь.

Уязвимости под линукс довольно быстро затираются, под Windows же на них кладут... пока пара месяцев не пройдёт, не исправят. А самому залатать ещё и незаконно.
А многим (геймерам, например) просто пофик на эти уязвимости. Вот и ставят себе антивирусы, а потом жалуются, что кризис под 10-ядерным процом тормозит.

Это, конечно, можно сделать. Но практической пользы злоумышленнику от этого мало. Хотя, конечно, бывают и такие цели - стереть и затереть какую-то важную стратегически инфу.
Но чаще необходимо, к примеру, вызвать отказ в обслуживании (червя подкинуть), или шпионить за пользователями. Первое делают черви... но их работа затруднительно с правами юзверя на линуксе, так как любой раздел на ext2/3/4 имеет (по умолчанию) лимит записи для пользователя, умные администраторы ещё и квоту добавляют. Ну и выносят отдельно корень, отдельно хомяк, отдельно вар, и т.п...
Второе делают трояны, ну может, руткиты. Ну, с руткитами понятно - тут нужна модификация исполняемых файлов. Если вы ставите ПО с какой-то левого сайта, то тут никакой защиты нет. Если из реп - защищены на 99%. а уж если из исходников компилите, предварительно их прочитав доскольнально ну такое редко бывает, да.
Троян не подкинешь опять же без прав... они же должны куда-то инфу отправлять незаметно, и т.п... в общем, сомневаюсь я в этом. В идеале они должны модифицировать вывод таких утилит как iptables, netstat, и т.п... иначе их легко заметить.

Ну... сначала нужно использовать локальный эксплоит для повышения привилегий =). А когда привилегии повысились то можно делать, что душе угодно

Не знаю как сейчас, но раньше под виндой были вирусы предлагающие отправить некую сумму на некий счет, иначе килл юзерские данные почему бы такой же схеме не работать в linux...

А если это чудо просто шифранет ваши данные? И усе, ключик для расшифровки только после отправки смски.

Скажем, у большинства студентов на компах хранятся всевозможные наработки по учебе (курсачи там, диплом и всякоразно прочее). Многие люди на компе же хранят те же личные фото, например. Потерять все это добро - чрезвычайно нежелательно, и скачать из инета все это уже не получится. А ОС - да фиг бы с ней, ее переставить - дело нехитрое (если о десктопе говорим).

легко:

$ which firefox 
/usr/bin/firefox
$ file /usr/bin/firefox 
/usr/bin/firefox: symbolic link to `/usr/lib/firefox-3.0.16/firefox'
$ file /usr/lib/firefox-3.0.16/firefox
/usr/lib/firefox-3.0.16/firefox: Bourne shell script text executable
$ sed -i '2s/.*/echo "Я злобный вирус"/' /usr/lib/firefox-3.0.16/firefox 
sed: невозможно открыть временный файл /usr/lib/firefox-3.0.16//sedujG6bB: Отказано в доступе

облом?! нет!
1) во первых, у многих ФФ установлен в домашний каталог с нужными правами (а иначе он и обновится не сможет)
2) если появляется такое сообщение (Access deny), то 99% юзеров повторят команду, только с префиксом sudo.
Вот вам и "вирус в линух". И что вы такому противопоставите?

с учетом игры по выше озвученным правилам ваш пример уже не верный.
придумайте круче, что нибудь вроде гадких скриптов в ОпенОфисе стирающих ~/ тогда поверим =)))

У меня отсутствует файл sudoers 

да? а sudo установлено? а где лежит firefox?

в криптоанализе есть только ОДНО правило:
Злоумышленник ВСЕГДА распологает большими знаниями, большим опытом, у него больше времени, и заведомо большее количество ресурсов, чем у нас.
вы там что-то ограничиваете, типа "злоумышленник должен..."
да нифига он вам не должен! придёт, сломает, а вы ничего и не заметите. и плевал враг на ваши "правила". пока вы этого не поймёте, говорить нам не о чем. Разве что о бабах. Но уж никак не о "безопасности".

ЗЫЖ что значит "открываю evil.com"? у вас ФФ открывает приложения? да ещё и com?

sudo не устанавливал. Да и огнелиса нет, если честно

drBatty,

У Вас есть под Линукс троян?