Проблема "зашита" в libsystemd:
ldd /lib/x86_64-linux-gnu/libsystemd.so.0
    linux-vdso.so.1 (0x00007ffea1bfd000)
    librt.so.1 => /lib/x86_64-linux-gnu/librt.so.1 (0x00007fe963f05000)
    liblzma.so.5 => /lib/x86_64-linux-gnu/liblzma.so.5 (0x00007fe963edc000)
    liblz4.so.1 => /lib/x86_64-linux-gnu/liblz4.so.1 (0x00007fe963ebb000)
    libgcrypt.so.20 => /lib/x86_64-linux-gnu/libgcrypt.so.20 (0x00007fe963d9d000)
    libpthread.so.0 => /lib/x86_64-linux-gnu/libpthread.so.0 (0x00007fe963d7a000)
    libc.so.6 => /lib/x86_64-linux-gnu/libc.so.6 (0x00007fe963b88000)
    /lib64/ld-linux-x86-64.so.2 (0x00007fe963fd6000)
    libgpg-error.so.0 => /lib/x86_64-linux-gnu/libgpg-error.so.0 (0x00007fe963b63000)
Т.е. аналогичный бакдор можно было внедрить в liblz4.so, или libgpg-error.so.

Этой схеме подвержены любые сервисы, слинкованные с libsystemd.so и выполняющие авторизацию pubkey. При загрузке libsystemd.so загружаются зависимые либы и, в случае трояненой liblzma.so, происходила подмена для sshd функции "RSA_public_decrypt" (низкий поклон systemd). Просто автор бакдора ограничил работу только sshd (проверка argv[0] = /usr/sbin/sshd)