Suspeita-se que o backdoor no pacote xz foi inserido pelo desenvolvedor Jia Tan, que em 2022 obteve status de mantenedor e come\u00e7ou a lan\u00e7ar vers\u00f5es a partir da 5.4.2. Al\u00e9m do projeto xz, o suposto autor do backdoor tamb\u00e9m participou do desenvolvimento dos pacotes xz-java e xz-embedded, e foi inclu\u00eddo entre os mantenedores do projeto XZ Embedded, utilizado no n\u00facleo do Linux. <\/p>\n
Na organiza\u00e7\u00e3o da promo\u00e7\u00e3o do backdoor, tamb\u00e9m foram notados mais dois participantes \u2014 Jigar Kumar e Hans Jansen, que, ao que tudo indica, s\u00e3o personagens virtuais. Jigar Kumar, em abril de 2022, ajudou na ado\u00e7\u00e3o de patches iniciais de Jia Tan no xz com a implementa\u00e7\u00e3o do suporte a filtros de string e exerceu press\u00e3o moral sobre Lasse Collin, o mantenedor da \u00e9poca, criticando-o por n\u00e3o ser capaz de cumprir suas responsabilidades e por n\u00e3o aceitar patches \u00fateis. Em junho, Lasse Collin concordou que o projeto precisava de um novo mantenedor, lamentou o esgotamento e problemas de sa\u00fade mental, e passou os direitos de manuten\u00e7\u00e3o para Jia Tan. Ap\u00f3s isso, o usu\u00e1rio Jigar Kumar n\u00e3o apareceu mais na lista de discuss\u00e3o. <\/p>\n
Ap\u00f3s receber os direitos de mantenedor, Jia Tan come\u00e7ou a adicionar ativamente altera\u00e7\u00f5es ao projeto e, nas estat\u00edsticas de dois anos, ocupou o segundo lugar entre os desenvolvedores em n\u00famero de altera\u00e7\u00f5es. Em mar\u00e7o de 2023, o respons\u00e1vel pelos testes do pacote xz no servi\u00e7o oss-fuzz foi substitu\u00eddo de Lasse Collin para Jia Tan, e em junho foram aceitas mudan\u00e7as no xz que adicionaram suporte ao mecanismo IFUNC no liblzma (o construtor crc64_fast foi substitu\u00eddo por ifunc), que mais tarde foi utilizado para organizar o interc\u00e2mbio de fun\u00e7\u00f5es no backdoor. A mudan\u00e7a foi proposta por Hans Jansen, e Jia Tan a aceitou no xz. A conta de Hans Jansen foi criada logo antes do envio da solicita\u00e7\u00e3o de pull. <\/p>\n
Em julho de 2023, Jia Tan enviou aos desenvolvedores do oss-fuzz um pedido para desativar a verifica\u00e7\u00e3o ifunc devido \u00e0 sua incompatibilidade com o modo \u2018-fsanitize=address\u2019. No in\u00edcio de fevereiro de 2024, o link para o site do projeto no oss-fuzz e na p\u00e1gina principal do tukaani.org foi alterado de \u2018tukaani.org\/xz\/\u2019 para \u2018xz.tukaani.org\u2019, onde o subdom\u00ednio \u2018xz.tukaani.org\u2019 estava hospedado no servi\u00e7o GitHub Pages e era controlado pessoalmente por Jia Tan. Em 23 de fevereiro, no reposit\u00f3rio do xz, foram disponibilizados arquivos para testar o funcionamento do decodificador, entre os quais estavam os arquivos bad-3-corrupt_lzma2.xz e good-large_compressed.lzma com um backdoor oculto. Macros M4 para ativar o backdoor foram inclu\u00eddos apenas no tar-archive da vers\u00e3o 5.6.0 e foram exclu\u00eddos do reposit\u00f3rio Git, mas foram expostos no arquivo .gitignore. <\/p>\n
Em 17 de mar\u00e7o, Hans Jansen, que anteriormente desenvolveu patches com suporte a IFUNC, foi registrado como um participante do projeto Debian, e em 25 de mar\u00e7o enviou uma solicita\u00e7\u00e3o para atualizar a vers\u00e3o do pacote xz-utils no reposit\u00f3rio Debian. Solicita\u00e7\u00f5es de atualiza\u00e7\u00e3o tamb\u00e9m foram feitas aos desenvolvedores do Fedora e Ubuntu (no Ubuntu, o reposit\u00f3rio estava em fase de congelamento e a altera\u00e7\u00e3o foi recusada). <\/p>\n