Egy új, QuartzLine néven álcázott Windows-program látszólag egyszerű PDF-nézegető. Lehet vele fájlt megnyitni, keresni, nagyítani és oldalak bélyegképei között böngészni. A valóságban azonban a programban egy rejtett hátsó ajtó, a „zenith” modul rejtőzik, amely a fertőzött gépet támadói szerverhez köti, és onnan várja az utasításokat. A minta paperline.exe vagy QuartzLine_1.x.exe néven is ismert, körülbelül 7,9 MB-os, Rust nyelven írt alkalmazás. A látható PDF-nézegető működik, de a háttérben a rejtett komponens azonosítót készít a géphez, kapcsolatot létesít egy parancskiszolgálóval, és képes távoli parancsokat végrehajtani.
A program EV, azaz Extended Validation kódaláíró tanúsítvánnyal érkezik. Ez a legmagasabb ellenőrzésű típus: a tanúsítványkiadó nemcsak a fájl érintetlenségét igazolja, hanem azt is, hogy melyik cég áll mögötte. Emiatt a felhasználók és sok biztonsági eszköz automatikusan nagyobb bizalmat tanúsítanak iránta.
A gond az, hogy a tanúsítványt a Guangzhou Guoying Communication Technology Co., Ltd. kapta a Sectigótól, miközben a programban „Summit Works” név szerepel a fájl neve „Paperline Document Viewer”, a felület pedig „QuartzLine”-t mutat. Három eltérő név, amelyek közül egyik sem egyezik az aláíróval.
A tanúsítványt azóta visszavonták: a Sectigo 2026. október 9-én „Privilege Withdrawn” okkal jelzi, és a visszavonás a kiadás napjára visszadátumozott. Így az ezzel a tanúsítvánnyal készült összes aláírás érvénytelenné vált. A program indításakor a PDF-nézegető mellett elindul a „zenith” modul is. Ez először tartós azonosítót hoz létre a gépnek, majd kapcsolatba lép a támadói parancskiszolgálóval, az úgynevezett C2-vel.
A működés lényege:
- Azonosítót ír a gépre. A %LOCALAPPDATA%\QuartzLine\terrain.dat fájl látszólag beállításokat tartalmaz, de utolsó sora egy zenith= kezdetű, gépenkénti azonosító.
- Bejelentkezik a szerverhez. A /quarry/vein végpontra küld üzenetet a westbeavers.com , motherotters.com vagy healskills.com domainek egyikére.
- Állapotot jelent. A /quarry/deposit végponton rövid státuszkódokat küld vissza.
- Vár az utasításra. Ha a szerver küld feladatot, végrehajtja; ha nem, tovább vár.
A kommunikáció geológiai témájú neveket használ – quarry, vein, deposit, stratum, bedrock –, ami önmagában nem rosszindulatú, de a kutatók szerint később könnyen felismerhetővé teszi a forgalmat.
A kód elemzése alapján a szerver legalább két fajta feladatot adhat. Tetszőleges Windows-parancs futtatása rejtett ablakban, cmd /C segítségével. A program ezután visszaküldi a parancs eredményét, a kilépési kódját és az eltelt időt. Ez azt jelenti, hogy a támadó távolról ugyanazokat a műveleteket végezheti el, mint aki közvetlenül a gép előtt ül. További kártékony szoftvert telepíthet, tartós jelenlétet építhet ki, fájlokat kereshet, vagy a helyi hálózatot térképezheti fel.
A második képesség Chromium-alapú böngészők (Chrome vagy Edge) profiljait érinti. A modul képes profilfájlokat kiolvasni és elküldeni, a szerver által küldött fájlokat a profilba írni, majd a böngészőt kilőni és újraindítani. Ez alkalmas lehet böngészőbeállítások vagy bővítmények csendes módosítására, bár a kutatók élőben nem láttak ilyen parancsot.
A nyilvános sandboxok többnyire alacsony kockázatúnak vagy akár tisztának minősítették a fájlt. Az ANY.RUN például 30/100 pontot adott, korábbi Triage-futások pedig 1–3/10 közötti értékelést mutattak.
Ennek oka, hogy a PDF-nézegető valóban működik, a backdoor pedig csak akkor csinál „rosszat”, ha a szerver utasítja. Az elemzett időszakban a szerver minden visszafejthető beszélgetésben azt válaszolta, hogy nincs teendő. Emellett a kommunikáció HTTPS-en belül tovább van kódolva, a binárisban pedig egyes szövegeket apránként módosítottak, például mod.rs helyett mod.rn szerepel, ami nehezíti a felismerést.