Il presunto backdoor nel pacchetto xz \u00e8 stato inserito dallo sviluppatore Jia Tan, che nel 2022 ha ottenuto lo status di curatore e ha iniziato a rilasciare versioni a partire dalla versione 5.4.2. Oltre al progetto xz, si presume che l'autore del backdoor abbia partecipato anche allo sviluppo dei pacchetti xz-java e xz-embedded, ed \u00e8 stato incluso tra i manutentori del progetto XZ Embedded, utilizzato nel kernel di Linux. <\/p>\n
Nell'organizzazione della promozione del backdoor sono stati notati anche altri due partecipanti \u2014 Jigar Kumar e Hans Jansen, che sembrano essere personaggi virtuali. Jigar Kumar, ad aprile 2022, ha contribuito all'adozione delle prime patch di Jia Tan in xz con l'implementazione del supporto per i filtri stringa e ha esercitato pressione morale su Lasse Collin, l'allora maintainer, criticando la sua incapacit\u00e0 di svolgere i propri compiti e il fatto che non accettasse patch utili. A giugno Lasse Collin ha concordato che il progetto aveva bisogno di un nuovo maintainer, ha lamentato il burnout e problemi di salute mentale e ha ceduto il diritto di mantenimento a Jia Tan. Dopo questo, l'utente Jigar Kumar non \u00e8 pi\u00f9 apparso nella mailing list. <\/p>\n
Ottenuti i diritti di manutenzione, Jia Tan ha iniziato ad aggiungere attivamente modifiche al progetto e, secondo le statistiche degli ultimi due anni, ha occupato il secondo posto tra gli sviluppatori per numero di modifiche. Nel marzo 2023, il responsabile dei test del pacchetto xz nel servizio oss-fuzz \u00e8 stato sostituito da Lasse Collin a Jia Tan, e a giugno sono state accettate in xz modifiche che aggiungevano supporto al meccanismo IFUNC in liblzma (il costruttore crc64_fast \u00e8 stato sostituito con ifunc), che \u00e8 stato successivamente utilizzato per organizzare l'intercettazione delle funzioni nel backdoor. La modifica \u00e8 stata proposta da Hans Jansen, e Jia Tan l'ha accettata nel progetto xz. L'account di Hans Jansen \u00e8 stato creato poco prima dell'invio della pull request. <\/p>\n
A luglio 2023, Jia Tan ha inviato una richiesta agli sviluppatori di oss-fuzz per disattivare il controllo ifunc a causa della sua incompatibilit\u00e0 con l'opzione '-fsanitize=address'. All'inizio di febbraio 2024, il link al sito del progetto in oss-fuzz e sulla homepage di tukaani.org \u00e8 stato cambiato da 'tukaani.org\/xz\/' a 'xz.tukaani.org', dove il sottodominio 'xz.tukaani.org' era ospitato nel servizio GitHub Pages e controllato personalmente da Jia Tan. Il 23 febbraio nel repository di xz sono stati pubblicati archivi per testare il funzionamento del decoder, tra cui i file bad-3-corrupt_lzma2.xz e good-large_compressed.lzma con un backdoor nascosto. I macro M4 per attivare il backdoor erano inclusi solo nell'archivio tar con la release 5.6.0 ed erano stati esclusi dal repository Git, ma erano visibili nel file .gitignore. <\/p>\n
Il 17 marzo, Hans Jansen, che in precedenza aveva sviluppato patch per il supporto di IFUNC, \u00e8 stato registrato come partecipante al progetto Debian, e il 25 marzo ha inviato una richiesta per aggiornare la versione del pacchetto xz-utils nel repository Debian. Richieste di aggiornamento della versione sono state inoltre inviate agli sviluppatori di Fedora e Ubuntu (nel repository Ubuntu la situazione era in fase di congelamento e la modifica \u00e8 stata rifiutata). <\/p>\n