Sí que es poden fer, i crec que n'existeix. De fet se suposava que Android era linux, i Android té malware, fins on jo sé.
Fa poc un programador va aconseguir installar un malware a un software lliure (XZ) que bàsicament es feia servir a Linux i que es feia servir en seguretat (SSH), entre altres.
Es va descobrir perque un enginyer de Microsoft va detectar que els seus tests trigaven mig segon més de lo esperat.
Ja havia entrat en algunes distribucions!