Mendohet se backdoor-i në paketën xz është futur nga zhvilluesi Jia Tan, i cili në vitin 2022 mori statusin e mbështetësit dhe filloi të lëshojë versione nga versioni 5.4.2. Përveç projektit xz, autori i supozuar i backdoor-it gjithashtu ka marrë pjesë në zhvillimin e paketave xz-java dhe xz-embedded dhe është përfshirë në radhët e mbështetësve të projektit XZ Embedded, i cili përdoret në bërthamën e Linux.
Në organizimin e promovimit të backdoor-it janë vënë re edhe dy pjesëmarrës të tjerë — Jigar Kumar dhe Hans Jansen, të cilët, për sa duket, janë personazhe virtuale. Jigar Kumar në prill 2022 ndihmoi pranim-in e patch-eve të hershme të Jia Tan në xz me realizimin e mbështetjes për filtre string dhe ushtroi presion moral mbi Lasse Collin, atëherë mbështetësin, duke kritikuar se ai nuk ishte në gjendje të përmbushte detyrat e tij dhe nuk pranonte patch-e të dobishme. Në qershor, Lasse Collin pranoi se projekti kishte nevojë për një mbështetës të ri, u ankuar për shterimin dhe problemet me shëndetin mendor, dhe ia kaloi të drejtat e mbështetësit Jia Tan. Pas kësaj, përdoruesi Jigar Kumar nuk u shfaq më në listën e dërgimit.
Pasja e Jia Tan për zhvillimin e softuerit, e cila u rrit pas marrjes së të drejtave si mëtë, e çoi atë të bëjë shumë ndryshime në projekt, duke arritur vendin e dytë në renditjen e zhvilluesve për numrin e ndryshimeve brenda dy viteve. Në mars 2023, përgjegjësia për testimin e paketës xz në shërbimin oss-fuzz u transferua nga Lasse Collin te Jia Tan, dhe në qershor, ndryshimet që shtuan mbështetje për mekanizmin IFUNC në liblzma (konstruktori crc64_fast u zëvendësua me ifunc), i cili më vonë u përdor për organizimin e kapjeve të funksioneve në backdoor, u pranuan në xz. Ky ndryshim u propozuar nga Hans Jansen dhe Jia Tan e pranoi në përbërjen e xz. Llogaria e Hans Jansen u krijua menjëherë para dërgimit të kërkesës për tërheqje.
Në korrik 2023, Jia Tan dërgoi një kërkesë për ndalim të verifikimit ifunc tek zhvilluesit e oss-fuzz për shkak të moskompatibilitetit të tij me modin "-fsanitize=address". Në fillim të shkurtit 2024, lidhja për faqen e projektit në oss-fuzz dhe në faqen kryesore tukaani.org u ndryshua nga "tukaani.org/xz/" në "xz.tukaani.org", ku subdomeni "xz.tukaani.org" u vendos në shërbimin GitHub Pages dhe kontrollohej personalisht nga Jia Tan. Më 23 shkurt, në depozitat xz u publikuan arkiva për testimin e funksionit të dekoderit, midis të cilave ishin skedarët bad-3-corrupt_lzma2.xz dhe good-large_compressed.lzma me një backdoor të fshehur. Makros M4 për aktivizimin e backdoor-it ishin përfshirë vetëm në arkivin tar me versionin 5.6.0 dhe ishin përjashtuar nga depozitimi Git, por dolën në pah në skedarin .gitignore.
Më 17 mars, Hans Jansen, i cili kishte zhvilluar më parë patches me mbështetje për IFUNC, u regjistrua si pjesëtar i projektit Debian, dhe më 25 mars ai dërgoi një kërkesë për përditësimin e versionit të paketës xz-utils në depozitimin Debian. Kërkesat për përditësim versioni gjithashtu iu dërguan zhvilluesve të Fedora dhe Ubuntu (në Ubuntu depozita ishte në fazën e ngrirjes dhe ndryshimi u refuzua).
Disa i bashkangjitur kërkesave për të përditësuar versionin xz, disa përdorues kanë raportuar se në versionin e ri janë eliminuar gabimet që pengonin punën, të identifikuara gjatë rregullimit në valgrind (problemet ndodhnin për shkak të përcaktimit të papërshtatshëm të disponimit të stack në trajtuesin e backdoor dhe këto probleme zhvilluesit e backdoor përpiqen t'i zgjidhin në versionin xz 5.6.1). Për këtë çështje është interesuar edhe Andres Freund, një punonjës i Microsoft, i përfshirë në zhvillimin e PostgreSQL, i cili ka identifikuar praninë e backdoor dhe e ka njoftuar këtë komunitet.
Burimi: opennet.ru
