Navodno je backdoor u paketu xz ugradio developer Jia Tan, koji je 2022. godine stekao status održavatelja i izdavao verzije od 5.4.2. Osim projekta xz, navodni autor backdoora također je sudjelovao u razvoju paketa xz-java i xz-embedded te je bio uključen u tim održavatelja projekta XZ Embedded, koji se koristi u Linux kernelu.
U organizaciji promocije backdoora primjećena su još dva sudionika — Jigar Kumar i Hans Jansen, koji se čini da su virtualni likovi. Jigar Kumar je u travnju 2022. godine pomagao u prihvaćanju ranih zakrpa Jia Tana u xz koje su implementirale podršku za filtere stringova i vršio moralni pritisak na Lassea Collina, tadašnjeg održavatelja, kritizirajući ga da nije u stanju obavljati svoje obaveze i da ne prihvaća korisne zakrpe. U lipnju je Lasse Collin pristao da projektu treba novi održavatelj, požalio se na izgaranje i probleme sa mentalnim zdravljem, te je prenio pravo održavatelja na Jia Tana. Nakon toga, korisnik Jigar Kumar više se nije pojavljivao na mailing listi.
Nakon što je dobio prava održavatelja, Jia Tan aktivno je počeo dodavati promjene u projekt i prema statistikama za dvije godine zauzeo je drugo mjesto među developerima po broju promjena. U ožujku 2023. godine, odgovorna osoba za testiranje paketa xz u servisu oss-fuzz zamijenjena je s Lasseom Collinom na Jia Tana, a u lipnju su u sastav xz prihvaćene promjene koje su dodale u liblzma podršku za mehanizam IFUNC (konstruktor crc64_fast zamijenjen je ifunc), koji je kasnije korišten za organizaciju presretanja funkcija u backdooru. Promjenu je predložio Hans Jansen, a Jia Tan ju je prihvatio u sastav xz. Račun Hans Jansen je stvoren neposredno prije slanja pull-requesta.
U srpnju 2023. godine, Jia Tan je poslao programerima oss-fuzz zahtjev za isključivanje provjere ifunc zbog njegove nespojivosti s režimom „-fsanitize=address“. Početkom veljače 2024. godine, poveznica na stranicu projekta u oss-fuzz i na glavnoj stranici tukaani.org je promijenjena sa „tukaani.org/xz/“ na „xz.tukaani.org“, gdje je poddomen „xz.tukaani.org“ bio smješten u usluzi GitHub Pages i osobno kontroliran od strane Jie Tana. 23. veljače u repozitoriju xz objavljene su arhive za testiranje rada dekodera, među kojima su se nalazili datoteke bad-3-corrupt_lzma2.xz i good-large_compressed.lzma sa skrivenim leđa. M4 makroi za aktivaciju leđa bili su uključeni samo u tar-arhiv s izdanjem 5.6.0 i bili su isključeni iz Git repozitorija, ali su se pojavili u datoteci .gitignore.
17. ožujka, Hans Jansen, koji je ranije razvio zakrpe s podrškom za IFUNC, registriran je kao sudionik projekta Debian, a 25. ožujka poslao je zahtjev za ažuriranje verzije paketa xz-utils u Debian repozitoriju. Zahtjevi za ažuriranje verzije također su stigli od programera Fedora i Ubuntu (u Ubuntu repozitoriju je bio u fazi zamrzavanja i promjena je odbijena).
Zamolbama za ažuriranje verzije xz pridružili su se i neki korisnici, tvrdeći da su u novoj verziji ispravljeni komplikacije u radu, otkrivene prilikom debagiranja u valgrind-u (problemi su nastali zbog neispravnog definiranja rasporeda stoga u obradi leđa, a ovi problemi pokušali su ispraviti programeri leđa u verziji xz 5.6.1). Također se pojavio interes za kvar od strane Andresa Freund, zaposlenika Microsofta koji sudjeluje u razvoju PostgreSQL-a, koji je otkrio postojanje leđa i obavijestio o tome zajednicu.
Izvor: opennet.ru
