Det antages, at en bagd\u00f8r i xz-pakken blev indsat af udvikleren Jia Tan, som i 2022 opn\u00e5ede status som vedligeholder og har udgivet versioner siden 5.4.2. Udover projektet xz har den formodede forfatter til bagd\u00f8ren ogs\u00e5 v\u00e6ret involveret i udviklingen af pakkerne xz-java og xz-embedded, og han blev inkluderet blandt vedligeholderne af projektet XZ Embedded, der anvendes i Linux-kernen. <\/p>\n
I organisationen for promovering af backdoor blev der ogs\u00e5 bem\u00e6rket to andre deltagere \u2012 Jigar Kumar og Hans Jansen, som tydeligvis er virtuelle karakterer. Jigar Kumar bidrog i april 2022 til vedtagelsen af de tidlige patches fra Jia Tan til xz med implemetering af underst\u00f8ttelse af stringfiltre og ud\u00f8vede moralsk pres p\u00e5 Lasse Collin, den dav\u00e6rende vedligeholder, ved at kritisere ham for ikke at v\u00e6re i stand til at udf\u00f8re sine opgaver og for ikke at tage nyttige patches til sig. I juni accepterede Lasse Collin, at projektet havde brug for en ny vedligeholder, han klagede over udbr\u00e6ndthed og mentale sundhedsproblemer og gav vedligeholdelsesrettighederne til Jia Tan. Efter dette optr\u00e5dte brugeren Jigar Kumar ikke l\u00e6ngere p\u00e5 mailinglisten. <\/p>\n
Da Jia Tan fik vedligeholderrettighederne, begyndte han aktivt at tilf\u00f8je \u00e6ndringer til projektet, og statistisk set indtog han den andenplads blandt udviklerne i antallet af \u00e6ndringer i l\u00f8bet af to \u00e5r. I marts 2023 blev den ansvarlige for testning af xz-pakken i tjenesten oss-fuzz skiftet fra Lasse Collin til Jia Tan, og i juni blev der accepteret \u00e6ndringer i xz, der tilf\u00f8jede st\u00f8tte til mekanismen IFUNC i liblzma (den tidligere crc64_fast konstrukt\u00f8r blev erstattet med ifunc), som senere blev anvendt til at organisere funktionen interception i bagd\u00f8ren. \u00c6ndringen blev foresl\u00e5et af Hans Jansen, og Jia Tan accepterede den i xz. Hans Jansen's konto blev oprettet lige f\u00f8r pull-anmodningen blev sendt. <\/p>\n
I juli 2023 sendte Jia Tan en anmodning til udviklerne af oss-fuzz om at deaktivere ifunc checken p\u00e5 grund af dens inkompatibilitet med tilstanden \u201e-fsanitize=address\u201c. I begyndelsen af februar 2024 blev linket til projektets hjemmeside i oss-fuzz og p\u00e5 hovedsiden tukaani.org \u00e6ndret fra \u201etukaani.org\/xz\/\u201c til \u201exz.tukaani.org\u201c, hvor underdom\u00e6net \u201exz.tukaani.org\u201c blev hostet p\u00e5 GitHub Pages og personligt kontrolleret af Jia Tan. Den 23. februar blev der uploadet arkiver til xz-repositoriet til test af dekoderens funktion, herunder filerne bad-3-corrupt_lzma2.xz og good-large_compressed.lzma med en skjult backdoor. M4-makroer til aktivering af backdooren var kun inkluderet i tar-arkivet med version 5.6.0 og blev udelukket fra Git-repositoriet, men de blev opdaget i filen .gitignore. <\/p>\n
Den 17. marts blev Hans Jansen, som tidligere havde udviklet patches til IFUNC-support, registreret som deltager i Debian-projektet, og den 25. marts sendte han en anmodning om at opdatere versionen af pakken xz-utils i Debian-repositoriet. Ogs\u00e5 udviklerne af Fedora og Ubuntu modtog anmodninger om versionopdatering (i Ubuntu var repositoriet p\u00e5 frysepunktet, og \u00e6ndringen blev afvist). <\/p>\n