Barrapunto

parece que lo que estaba infectado eran los archivos tar de algunos mirror. Eso tiene poco que ver con la seguridad del proyecto sino con :

1) La seguridad del servidor que hace de mirror.

2) La mala costumbre de la gente de instalar un servidor de produccion sin tomar las medidas de seguridad necesarias. En este caso comprobar la autenticidad del archivo haciendo un MD5).

Digamos que he puesto un ejemplo cualquiera, pero podría ser cualquier otro [barrapunto.com]. Lo de los repositorios poco seguros es la ginda de todo lo que hay por detrás. Todos descargamos cosas que creemos seguras desde sitios que creemos seguros... pero ¿quien lo comprueba?

Aún así tenemos que admitir que el error estaba en el código fuente, y que pasó mucho tiempo antes de que alguien revisara el código y se percatara.