De vermoedelijke backdoor in het xz-pakket zou zijn ingevoerd door ontwikkelaar Jia Tan, die in 2022 de status van maintainer kreeg en releases uitbracht vanaf versie 5.4.2. Naast het xz-project zou de vermeende auteur van de backdoor ook betrokken zijn bij de ontwikkeling van de pakketten xz-java en xz-embedded, en was hij een van de maintainers van het XZ Embedded-project dat in de Linux-kernel wordt gebruikt.
In de organisatie achter de promotie van de backdoor zijn ook nog twee andere deelnemers opgemerkt — Jigar Kumar en Hans Jansen, die blijkbaar virtuele personages zijn. Jigar Kumar hielp in april 2022 bij de acceptatie van eerdere patches van Jia Tan in xz met de implementatie van ondersteuning voor stringfilters en drukte morele druk uit op Lasse Collin, de toenmalige maintainer, door te bekritiseren dat hij zijn verantwoordelijkheden niet kon vervullen en geen nuttige patches accepteerde. In juni gaf Lasse Collin toe dat het project een nieuwe maintainer nodig had, beklagde zich over burn-out en geestelijke problemen, en droeg het maintainerrecht over aan Jia Tan. Na dit voorval verscheen Jigar Kumar niet meer in de mailinglijst.
Na het verkrijgen van de maintainer-rechten begon Jia Tan actief wijzigingen aan het project toe te voegen en volgens statistieken staat hij in de afgelopen twee jaar op de tweede plaats onder ontwikkelaars qua aantal wijzigingen. In maart 2023 werd de verantwoordelijke voor de test van het xz-pakket in de dienst oss-fuzz vervangen van Lasse Collin naar Jia Tan, en in juni werden er wijzigingen in xz geaccepteerd die ondersteuning voor het IFUNC-mechanisme in liblzma toevoegden (de crc64_fast constructor werd vervangen door ifunc), die later werd gebruikt voor het organiseren van het intercepten van functies in de backdoor. Deze wijziging werd voorgesteld door Hans Jansen, en Jia Tan nam het op in xz. Het account van Hans Jansen werd direct vóór het indienen van de pull-request aangemaakt.
In juli 2023 stuurde Jia Tan een verzoek naar de ontwikkelaars van oss-fuzz om de ifunc-controle uit te schakelen vanwege de incompatibiliteit met de '-fsanitize=address' modus. Begin februari 2024 werd de link naar de projectwebsite in oss-fuzz en op de hoofdpagina van tukaani.org gewijzigd van 'tukaani.org/xz/' naar 'xz.tukaani.org', waar de subdomein 'xz.tukaani.org' werd gehost op GitHub Pages en persoonlijk werd beheerd door Jia Tan. Op 23 februari werden in de xz-repository archieven geplaatst voor het testen van de decoderfunctionaliteit, waaronder de bestanden bad-3-corrupt_lzma2.xz en good-large_compressed.lzma met een verborgen backdoor. M4-macro's voor het activeren van de backdoor waren alleen opgenomen in het tar-archief met release 5.6.0 en waren uitgesloten van de Git-repository, maar verschenen in het bestand .gitignore.
Op 17 maart werd Hans Jansen, die eerder patches met ondersteuning voor IFUNC had ontwikkeld, geregistreerd als deelnemer van het Debian-project, en op 25 maart stuurde hij een verzoek voor de update van de versie van het xz-utils-pakket in de Debian-repository. Verzoeken om de versie te updaten werden ook ingediend bij de ontwikkelaars van Fedora en Ubuntu (in Ubuntu was de repository in een bevroren staat en werd de wijziging afgewezen).
Sommige gebruikers sloten zich aan bij de verzoeken om de versie van xz te updaten, bewerend dat in de nieuwe versie storingen zijn verholpen die zich voordeden tijdens het debuggen in valgrind (de problemen ontstonden door onjuiste stapelindeling in de backdoor-handler en deze problemen probeerden de backdoor-ontwikkelaars op te lossen in versie xz 5.6.1). De storing trok ook de aandacht van Andres Freund, een medewerker van Microsoft die betrokken is bij de ontwikkeling van PostgreSQL, die de aanwezigheid van de backdoor had ontdekt en de gemeenschap hierover informeerde.
Bron: opennet.ru
