Das Backdoor im Paket xz wurde vermutlich vom Entwickler Jia Tan eingef\u00fchrt, der im Jahr 2022 den Status eines Betreuers erhielt und Begleitversionen ab Version 5.4.2 ver\u00f6ffentlichte. Neben dem Projekt xz war der mutma\u00dfliche Autor des Backdoors auch an der Entwicklung der Pakete xz-java und xz-embedded beteiligt und geh\u00f6rte zu den Maintainers des XZ Embedded-Projekts, das im Linux-Kernel verwendet wird. <\/p>\n
In der Organisation zur F\u00f6rderung des Backdoors wurden auch zwei weitere Teilnehmer bemerkt \u2014 Jigar Kumar und Hans Jansen, die anscheinend fiktive Personen sind. Jigar Kumar trug im April 2022 zur Annahme fr\u00fcherer Patches von Jia Tan bei, die die Unterst\u00fctzung f\u00fcr String-Filter implementierten, und \u00fcbte moralischen Druck auf Lasse Collin aus, den damaligen Betreuer, indem er kritisierte, dass dieser seinen Pflichten nicht nachkomme und n\u00fctzliche Patches nicht akzeptiere. Im Juni stimmte Lasse Collin zu, dass das Projekt einen neuen Betreuer ben\u00f6tige, beklagte sich \u00fcber Burnout und psychische Probleme und \u00fcbergab die Maintainer-Rechte an Jia Tan. Danach trat der Benutzer Jigar Kumar nicht mehr in der Mailingliste auf. <\/p>\n
Nachdem er die Rechte eines Maintainers erhalten hatte, begann Jia Tan aktiv \u00c4nderungen am Projekt vorzunehmen und belegte statistikm\u00e4\u00dfig in zwei Jahren den zweiten Platz unter den Entwicklern in Bezug auf die Anzahl der \u00c4nderungen. Im M\u00e4rz 2023 wurde der f\u00fcr das Testing des Pakets xz im Dienst oss-fuzz Verantwortliche von Lasse Collin auf Jia Tan gewechselt, und im Juni wurden \u00c4nderungen, die die Unterst\u00fctzung des Mechanismus IFUNC in liblzma hinzuf\u00fcgten (der Konstruktor crc64_fast wurde durch ifunc ersetzt), in das Paket xz aufgenommen, welche sp\u00e4ter zum Abfangen von Funktionen im Backdoor verwendet wurden. Diese \u00c4nderung wurde von Hans Jansen vorgeschlagen und von Jia Tan in das Paket xz aufgenommen. Das Konto von Hans Jansen wurde kurz vor dem Versand des Pull-Requests erstellt. <\/p>\n
Im Juli 2023 sendete Jia Tan an die Entwickler von oss-fuzz eine Anfrage zur Deaktivierung der ifunc-\u00dcberpr\u00fcfung aufgrund ihrer Inkompatibilit\u00e4t mit dem Modus \u201e-fsanitize=address\u201c. Anfang Februar 2024 wurde der Link zur Projektwebsite in oss-fuzz und auf der Hauptseite von tukaani.org von \u201etukaani.org\/xz\/\u201c auf \u201exz.tukaani.org\u201c ge\u00e4ndert, wobei die Subdomain \u201exz.tukaani.org\u201c auf GitHub Pages gehostet und pers\u00f6nlich von Jia Tan kontrolliert wurde. Am 23. Februar wurden im Repository xz Archive zur Testung des Decoders ver\u00f6ffentlicht, darunter die Dateien bad-3-corrupt_lzma2.xz und good-large_compressed.lzma mit einem versteckten Backdoor. M4-Makros zur Aktivierung des Backdoors waren nur im tar-Archiv der Version 5.6.0 enthalten und wurden aus dem Git-Repository ausgeschlossen, tauchten jedoch in der Datei .gitignore auf. <\/p>\n
Am 17. M\u00e4rz wurde Hans Jansen, der zuvor Patches mit IFUNC-Unterst\u00fctzung entwickelt hatte, als Teilnehmer des Debian-Projekts registriert. Am 25. M\u00e4rz sandte er einen Antrag zur Aktualisierung der Version des Pakets xz-utils im Debian-Repository. Update-Anfragen wurden auch an die Entwickler von Fedora und Ubuntu weitergeleitet (im Ubuntu-Repository war das Paket zum Zeitpunkt der Anfrage eingefroren, und die \u00c4nderung wurde abgelehnt). <\/p>\n