🧩 RainyDay ≈ Turian ≈ PlugX (variant): DLL Search Order Hijacking как общая основа

Cisco Talos описывает кампанию с 2022 года против telecom & manufacturing в Central/South Asia, приводящую к установке кастомного PlugX. Вариант пересекается с RainyDay и Turian: одинаковые законные приложения для DLL sideloading, единая крипто-цепочка XOR → RC4 → RtlDecompressBuffer (LZNT1) и частичный reuse RC4-ключей.

🌎 География и victims
Точные страны: Казахстан (телеком-оператор) и Узбекистан (ранее поражённые цели). В целом — Central & South Asia. Для BackdoorDiplomacy исторически: Africa, Europe, Middle East, Asia.

🎯 Attribution (medium confidence)
Наиболее вероятный актор — Naikon (PlugX-variant использует конфиг-формат RainyDay). Пересечения с BackdoorDiplomacy (Turian): схожие цели, однотипные лоадеры и крипто-примитивы → либо shared tooling/vendor, либо фактически один кластер.

🧪 Infection flow (общая логика)
Законный EXE → DLL search order hijacking (pc2msupp.dll) → чтение зашифрованного shellcode из соседнего файла → XOR → RC4 → LZNT1 → выполнение.
• RainyDay: s.exe → rdmin.src → self-inject.
• PlugX (variant): KMSEldi.exe → Mcsitesdvisor.afx → self-inject в контекст KMSEldi.exe.
• Turian: wingervlansec.exe → wingervlansec.dat → inject в wabmig.exe или explorer.exe → загрузка configer.dat (Config) и wingervlansec.ini (в т.ч. секция "AntiVir").

🔐 Code & crypto markers
Шеллкод-формат: XOR prelude → RC4 → LZNT1 (RtlDecompressBuffer).
RC4-ключи (reuse между семействами):
8f-2;g=3/c?1wf+c92rv.a — RainyDay / PlugX / Turian;
jfntv\1-m0vt801tyvqaf_)U89chasv` — RainyDay / PlugX;
отдельные ключи у части Turian по сэмплам.
ROL25 additive API hashing; местами Control-Flow Flattening.
PE-аномалия: у распакованных DLL намеренно искажён e_lfanew (невалидное смещение заголовка).
🧵 Dev-артефакты / PDB
Строки указывают на проекты dll-to-shellcode / shellcodeloader, присутствует icmpsh-master (提供网页版); встречались сборки, где MicrosoftEdgeUpdate.exe используется как альтернативный sideload-carrier.

🧿 PlugX (variant) — что важно
Кастомизированный BackDoor.PlugX.38: конфиг в стиле RainyDay, дополнительный XOR для строк; эскалация SeDebugPrivilege/SeTcbPrivilege (строки спрятаны модифицированным TEA); маскировка службы в services.exe; HTTPS для C2; библиотека VTCP 10.12.08; встроенный keylogger (логи активны 2022 → Dec 2024).

🔎 Артефакты и «крючки» для охоты
Carriers (allow-list → alert): KMSEldi.exe, wingervlansec.exe, s.exe (Mobile Popup Application, Quick Heal Technologies, signed).
Соседние файлы/паттерны: pc2msupp.dll + Mcsitesdvisor.afx / rdmin.src / wingervlansec.dat / configer.dat / wingervlansec.ini.
Process lineage: carrier.exe → (self) или → wabmig.exe/explorer.exe (child) + исходящий HTTPS.
Memory heuristics: короткий XOR-пролог → RC4 → RtlDecompressBuffer(LZNT1) вскоре после чтения локального файла; ROL25-хеширование API.
PE-аномалии: DLL с неадекватным e_lfanew после распаковки.
PDB/строки: dlltoshellcode, shellcodeloader_vs2008, icmpsh-master, MicrosoftEdgeUpdate.exe.

🛡 Hardening (quick wins)
Включить SafeDllSearchMode, настроить KnownDLLs, запретить side-by-side DLL в рабочих каталогах критичных приложений.
WDAC/AppLocker: deny для неожиданных DLL рядом с известными EXE; строгие allow-lists для апдейтеров/утилит.
EDR canaries: алерты на RtlDecompressBuffer + RC4-like циклы после чтения локального файла; отдельные правила на запуск KMSEldi.exe / wingervlansec.exe вне «зоны доверия».
Инвентаризация и мониторинг редко используемых «обновляющих» бинарников как потенциальных sideload-carriers.

TL;DR: один loader-скелет (XOR→RC4→LZNT1), общие carriers (KMSEldi.exe / wingervlansec.exe / s.exe), частичный reuse RC4-ключей и единые Dev-артефакты связывают RainyDay, Turian и PlugX(variant) в единую операцию; атрибуция к Naikon — medium confidence, с устойчивыми пересечениями с BackdoorDiplomacy.

🔗 https://blog.talosintelligence.com/how-rainyday-turian-and-a-new-plugx-variant-abuse-dll-search-order-hijacking/
🦔 THF