После появления подробного анализа действительно очень подготовленная атака. И цепочка случайностей, почти отвязали liblzma от libsystemd, спалились на valgrind, которая чуть не загубила весь план, но в итоге случилась другая случайность, которая и раскрыла план.
Можно отметить что первый коммит в m4 сам по себе довольно странный. grep, tr и eval сразу намекает на обфускацию, но для остальных m4 сборок это видимо норма. Во-вторых как не обнаружили что tar архив с файлами для сборки отличается от того, что находится в репозитории. Подумаешь несколько файлов добавилось и изменилось, где контрольные суммы, где подписанные коммиты, если можно в tar положить левые файлы.
И главное о чём не упомянуто в новости, в конце скрипта бекдор подчищал Makefile от следов, после того как произошло внедрение в скомпилированный объектный файл.