De vermoedelijke backdoor in het xz-pakket zou zijn ingevoerd door ontwikkelaar Jia Tan, die in 2022 de status van maintainer kreeg en releases uitbracht vanaf versie 5.4.2. Naast het xz-project zou de vermeende auteur van de backdoor ook betrokken zijn bij de ontwikkeling van de pakketten xz-java en xz-embedded, en was hij een van de maintainers van het XZ Embedded-project dat in de Linux-kernel wordt gebruikt. <\/p>\n
Bij de organisatie van de promotie van de backdoor zijn ook nog twee deelnemers opgemerkt \u2014 Jigar Kumar en Hans Jansen, die blijkbaar virtuele personages zijn. Jigar Kumar heeft in april 2022 bijgedragen aan de acceptatie van vroege patches van Jia Tan in xz met de implementatie van ondersteuning voor stringfilters en heeft morele druk uitgeoefend op Lasse Collin, de toenmalige maintainer, door te bekritiseren dat hij niet in staat was zijn taken uit te voeren en geen nuttige patches accepteerde. In juni stemde Lasse Collin ermee in dat het project een nieuwe maintainer nodig had, klaagde over burn-out en mentale gezondheidsproblemen, en droeg het maintainerrecht over aan Jia Tan. Na dit moment verscheen gebruiker Jigar Kumar niet meer in de mailinglijst. <\/p>\n
Na het verkrijgen van de maintainer-rechten begon Jia Tan actief wijzigingen aan het project toe te voegen en volgens statistieken staat hij in de afgelopen twee jaar op de tweede plaats onder ontwikkelaars qua aantal wijzigingen. In maart 2023 werd de verantwoordelijke voor de test van het xz-pakket in de dienst oss-fuzz vervangen van Lasse Collin naar Jia Tan, en in juni werden er wijzigingen in xz geaccepteerd die ondersteuning voor het IFUNC-mechanisme in liblzma toevoegden (de crc64_fast constructor werd vervangen door ifunc), die later werd gebruikt voor het organiseren van het intercepten van functies in de backdoor. Deze wijziging werd voorgesteld door Hans Jansen, en Jia Tan nam het op in xz. Het account van Hans Jansen werd direct v\u00f3\u00f3r het indienen van de pull-request aangemaakt. <\/p>\n
In juli 2023 heeft Jia Tan een verzoek gestuurd aan de ontwikkelaars van oss-fuzz om de ifunc-controle uit te schakelen vanwege incompatibiliteit met de modus \u2018-fsanitize=address\u2019. Begin februari 2024 werd de link naar de projectwebsite in oss-fuzz en op de homepage van tukaani.org gewijzigd van \u2018tukaani.org\/xz\/\u2019 naar \u2018xz.tukaani.org\u2019, waar de subdomein \u2018xz.tukaani.org\u2019 werd gehost op GitHub Pages en persoonlijk werd beheerd door Jia Tan. Op 23 februari werden in de xz-repository archieven geplaatst voor het testen van de werking van de decoder, waaronder de bestanden bad-3-corrupt_lzma2.xz en good-large_compressed.lzma met een verborgen backdoor. M4-macros voor het activeren van de backdoor waren alleen opgenomen in de tar-archief met release 5.6.0 en waren uitgesloten van de Git-repository, maar kwamen naar voren in het bestand .gitignore. <\/p>\n
Op 17 maart werd Hans Jansen, die eerder patches met ondersteuning voor IFUNC had ontwikkeld, geregistreerd als deelnemer van het Debian-project, en op 25 maart stuurde hij een verzoek voor de update van de versie van het xz-utils-pakket in de Debian-repository. Verzoeken om de versie te updaten werden ook ingediend bij de ontwikkelaars van Fedora en Ubuntu (in Ubuntu was de repository in een bevroren staat en werd de wijziging afgewezen). <\/p>\n