Bakdörren i paketet xz har troligen införts av utvecklaren Jia Tan, som 2022 fick status som underhållare och publicerade versioner från och med version 5.4.2. Förutom projektet xz deltog den misstänkta författaren till bakdörren också i utvecklingen av paketen xz-java och xz-embedded, och blev en av underhållarna för projektet XZ Embedded, som används i Linux-kärnan.
Organisationen bakom spridningen av bakdörren har också involverat ytterligare två deltagare — Jigar Kumar och Hans Jansen, som tydligen verkar vara virtuella karaktärer. Jigar Kumar bidrog i april 2022 till antagandet av tidiga patchar från Jia Tan i xz med implementeringen av stöd för strängfilter och utövade moraliskt tryck på Lasse Collin, den dåvarande underhållaren, genom att kritisera att han inte kunde utföra sina uppgifter och inte accepterade användbara patchar. I juni höll Lasse Collin med om att projektet behövde en ny underhållare, klagade över utbrändhet och psykiska problem, och överlämnade underhållarens rättigheter till Jia Tan. Efter detta dök användaren Jigar Kumar inte längre upp i mailinglistan.
När Jia Tan fick rättigheter som underhållare började han aktivt lägga till förändringar i projektet och enligt statistiken för två år hamnade han på andra plats bland utvecklarna när det gäller antal förändringar. I mars 2023 ersattes den ansvarige för testningen av paketet xz i tjänsten oss-fuzz från Lasse Collin till Jia Tan, och i juni antogs ändringar i xz som la till stöd för mekanismen IFUNC i liblzma (konstruktorn crc64_fast ersattes med ifunc), som senare användes för att organisera avlyssning av funktioner i bakdörren. Ändringen föreslogs av Hans Jansen och Jia Tan accepterade den i xz. Hans Jansen-kontot skapades strax före skickandet av pull-begäran.
I juli 2023 skickade Jia Tan en begäran till oss-fuzz-utvecklarna om att stänga av ifunc-kontrollen på grund av dess inkompatibilitet med läget "-fsanitize=address". I början av februari 2024 ändrades länken till projektets webbplats i oss-fuzz och på huvudsidan tukaani.org från "tukaani.org/xz/" till "xz.tukaani.org", där subdomen "xz.tukaani.org" var värd på GitHub Pages-tjänsten och personligen kontrollerad av Jia Tan. Den 23 februari lades arkiv för att testa avkodaren upp i xz-repositoriet, inklusive filerna bad-3-corrupt_lzma2.xz och good-large_compressed.lzma med en dold bakdörr. M4-makron för att aktivera bakdörren var endast inkluderade i tar-arkivet med version 5.6.0 och exkluderades från Git-repositoriet, men blev synliga i filen .gitignore.
Den 17 mars registrerades Hans Jansen, som tidigare utvecklat patchar med stöd för IFUNC, som deltagare i Debian-projektet, och den 25 mars skickades en begäran om att uppdatera versionen av paketet xz-utils i Debian-repositoriet. Begärningar för versionsuppdatering kom även till Fedora- och Ubuntu-utvecklarna (i Ubuntu var repositoriet i frysningsläge och ändringen avslogs).
Begärningar om att uppdatera xz-versionen kom också från vissa användare som hävdade att nya versioner åtgärdade störningar som upptäckts vid felsökning i valgrind (problemen härstammade från felaktig bestämning av stacklayout i bakdörrshanteraren och dessa problem försökte bakdörrens utvecklare åtgärda i version xz 5.6.1). Även Andres Freund, en anställd på Microsoft som deltar i utvecklingen av PostgreSQL, blev intresserad av störningen, som upptäckte bakdörren och meddelade gemenskapen om detta.
Källa: opennet.ru
