Det antages, at en bagdør i xz-pakken blev indsat af udvikleren Jia Tan, som i 2022 opnåede status som vedligeholder og har udgivet versioner siden 5.4.2. Udover projektet xz har den formodede forfatter til bagdøren også været involveret i udviklingen af pakkerne xz-java og xz-embedded, og han blev inkluderet blandt vedligeholderne af projektet XZ Embedded, der anvendes i Linux-kernen.
To andre personer, Jigar Kumar og Hans Jansen, er også blevet bemærket i organisationen bag promoveringen af bagdøren; de ser ud til at være virtuelle personer. Jigar Kumar bidrog i april 2022 til vedtagelsen af tidligere patches fra Jia Tan i xz, der implementerede support til string-filtre, og han udøvede moralsk pres på Lasse Collin, den daværende vedligeholder, kritiserende, at han ikke var i stand til at udføre sine pligter og ikke tog imod nyttige patches. I juni gik Lasse Collin med på, at projektet havde brug for en ny vedligeholder, klagede over udmattelse og problemer med mental sundhed, og overførte vedligeholderrettighederne til Jia Tan. Efter dette optrådte brugeren Jigar Kumar ikke længere i mailinglisten.
Da Jia Tan fik vedligeholderrettighederne, begyndte han aktivt at tilføje ændringer til projektet, og statistisk set indtog han den andenplads blandt udviklerne i antallet af ændringer i løbet af to år. I marts 2023 blev den ansvarlige for testning af xz-pakken i tjenesten oss-fuzz skiftet fra Lasse Collin til Jia Tan, og i juni blev der accepteret ændringer i xz, der tilføjede støtte til mekanismen IFUNC i liblzma (den tidligere crc64_fast konstruktør blev erstattet med ifunc), som senere blev anvendt til at organisere funktionen interception i bagdøren. Ændringen blev foreslået af Hans Jansen, og Jia Tan accepterede den i xz. Hans Jansen's konto blev oprettet lige før pull-anmodningen blev sendt.
I juli 2023 sendte Jia Tan en anmodning til udviklerne af oss-fuzz om at deaktivere ifunc-kontrollen på grund af dens inkompatibilitet med '-fsanitize=address' tilstand. I begyndelsen af februar 2024 blev linket til projektets hjemmeside i oss-fuzz og på forsiden af tukaani.org ændret fra 'tukaani.org/xz/' til 'xz.tukaani.org', hvor underdomænet 'xz.tukaani.org' blev hostet på GitHub Pages og kontrolleret personligt af Jia Tan. Den 23. februar blev der i xz-repositoriet lagt arkiver op til test af dekoderen, herunder filerne bad-3-corrupt_lzma2.xz og good-large_compressed.lzma, som indeholdt en skjult backdoor. M4-makroer til aktivering af backdooren var kun inkluderet i tar-arkivet med version 5.6.0 og blev udelukket fra Git-repositoriet, men blev synlige i filen .gitignore.
Den 17. marts blev Hans Jansen, som tidligere havde udviklet patches til IFUNC-support, registreret som deltager i Debian-projektet, og den 25. marts sendte han en anmodning om at opdatere versionen af pakken xz-utils i Debian-repositoriet. Også udviklerne af Fedora og Ubuntu modtog anmodninger om versionopdatering (i Ubuntu var repositoriet på frysepunktet, og ændringen blev afvist).
Nogle brugere, der anmodede om opdatering af xz-versionen, hævdede også, at den nye version havde løst forstyrrende fejl, der blev påvist under debugging i valgrind (problemerne opstod på grund af forkert identifikation af staklayoutet i backdoorhåndteringen, og disse problemer havde backdoorens udviklere forsøgt at løse i version xz 5.6.1). Fejlen vakte også interesse hos Andres Freund, en Microsoft-medarbejder, der deltager i udviklingen af PostgreSQL, som opdagede tilstedeværelsen af backdooren og informerede fællesskabet om det.
Kilde: opennet.ru
