Un equipo de investigación ha demostrado que el clásico ataque «trusting-trust», ideado por Ken Thompson en 1983 y tradicionalmente vinculado a los compiladores, puede ejecutarse hoy con una utilidad mucho más mundana: GNU strip, una herramienta estándar de compilación que no inspecciona ni genera código fuente. El trabajo, publicado en arXiv, muestra cómo manipular exclusivamente archivos ELF terminados para implantar una carga maliciosa que se propaga de generación en generación.
Los autores dirigieron el experimento contra la distribución NixOS. Un solo binario «strip» alterado dentro de la semilla binaria inicial basta para que la puerta trasera salte a las siguientes versiones de la propia utilidad y, una vez esta sale del cierre de dependencias, se extienda al entorno estándar final. La prueba, realizada sobre una revisión real de nixpkgs, construyó un instalador gráfico completo sin errores y comprometió casi todos sus binarios, lo que abre la puerta a comportamiento malicioso arbitrario en los paquetes afectados.
El hallazgo amplía de forma notable la superficie de ataque de las cadenas de suministro de software en Linux, al demostrar que cualquier binario presente en la fase de bootstrap puede servir de vector, no solo los compiladores. Los autores no detallan mitigaciones específicas, pero el experimento refuerza la necesidad de verificabilidad reproducible de los bootstraps de las distribuciones.