MalwareUsed by 1 actor

ruby5.3.exe

For your environment

Hunt this family in your stack

Mallory pivots from this family to the IOCs, detections, and named campaigns that touch your stack, and pages you when something new lands.

Start free trial

THREAT ACTORS

Groups observed using it

1 distinct threat actor attributed by public researchers. Open in Mallory to see the full evidence chain and overlapping campaigns.

View more details

Geo Likho

Как отмечено выше, в ходе нашего анализа мы выяснили, что вредоносный reader.exe сохраняет третий компонент атаки в файл с именем ruby5.3.exe (MD5: b89981f3d955f510aaf6822df2716cea).

via securelist rusecurelist.ru

MITRE ATT&CK

Techniques & procedures

13 distinct techniques documented for this family, organized by ATT&CK tactic.

Persistence

2 techniques

T1112Modify RegistryEvidence1

Если второй аргумент отличается от "0" и "1" , файл "%TEMP%\<filename>.exe" запускается с использованием техники UAC-bypass ... с одновременной модификацией двух ключей реестра при помощи следующих вызовов reg.exe

T1547.009Shortcut ModificationEvidence1

Для запуска этого файла reader.exe создает ярлык в пользовательской папке автозапуска — %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\rubyc5.3.lnk .

Privilege Escalation

2 techniques

T1547.009Shortcut ModificationEvidence1

T1548.002Bypass User Account ControlEvidence1

файл "%TEMP%\<filename>.exe" запускается с использованием техники UAC-bypass (MITRE-ATT&CK T1548.002) через встроенную утилиту ОС computerdefaults.exe

Stealth

1 technique

T1027Obfuscated Files or InformationEvidence1

скрипт ... закодированный при помощи проприетарного алгоритма Microsoft ... сервер возвращает бинарный исполняемый файл, зашифрованный при помощи XOR-операции с однобайтным ключом 0x7A, а затем — закодированный при помощи base64.

Defense Impairment

1 technique

T1112Modify RegistryEvidence1

Discovery

4 techniques

T1012Query RegistryEvidence1

команда dl ... Далее создать ключ реестра в разделе HKCU ... reg add HKCU \ Software \ Classes \ ms-settings \ CurVer ... reg add HKCU \ Software \ Classes \ .runopen \ Shell \ Open \ command

T1082System Information DiscoveryEvidence1

командный центр возвращает строку... Select * from Win32_OperatingSystem ... WMI-путь, используемый для получения версии ОС и номера сборки ... вредоносный код начинал сбор информации со скомпрометированной машины

T1083File and Directory DiscoveryEvidence1

Модуль-шпион Reader.exe собирает некоторые файлы ... расположенные как на зараженной машине, так и на подключаемых носителях ... Листинг директорий C:\Program Files\* и C:\Program Files (x86)\* ... команда nd Собрать файлы с подключенных и сетевых дисков.

T1518Software DiscoveryEvidence1

Select * from AntivirusProduct ... WMI-запрос, используемый для получения названия защитного решения, установленного на машине жертвы ... Geo Likho похищает ... список установленных программ

Collection

2 techniques

T1005Data from Local SystemEvidence1

Модуль-шпион Reader.exe собирает некоторые файлы, включая различные системные журналы и офисные документы... ruby5.3.exe собирает файлы по тем же маскам

T1039Data from Network Shared DriveEvidence1

команда nd Собрать файлы с подключенных и сетевых дисков.

Command and Control

2 techniques

T1071.001Web ProtocolsEvidence1

Если отправить запрос по HTTPS не удавалось, скрипт предпринимал еще одну попытку подключения к командному центру по HTTP ... GET-запросом ... hxxps://techsurgut[.]com/techstr/

T1219Remote Access ToolsEvidence1

Аргументы, которые будут переданы исполняемому файлу, например: «-R 8080:localhost:8080», для установки обратного SSH-туннеля к SSH-клиенту

Exfiltration

1 technique

T1041Exfiltration Over C2 ChannelEvidence1

Параллельно с этим вредоносный код начинал сбор информации со скомпрометированной машины с одновременной отправкой этих данных на другой домен... Собранные данные передаются по адресу hxxps://techsurgut[.]com/techstr/?dhf=2cad-[скрыто] .

ACTIVITY FEED

Recent activity

1 sources tracked across advisories, community write-ups, and news. New activity surfaces here as Mallory finds it.

1 SOURCESView more in app

securelist ruNews

Apr 22, 2026

Группа Geo Likho продолжает атаки на цели в России, фокусируясь на авиационной отрасли и водном транспорте | Securelist

C++-имплант третьего этапа с функциями эксфильтрации файлов по широкому набору расширений, сбором данных с подключенных и сетевых дисков, регулярными отчетами на C2 и поддержкой удаленных команд. Может скачивать и запускать дополнительные файлы, очищать хэш-файл, менять C2 и использовать UAC bypass через computerdefaults.exe для запуска полезной нагрузки.

What this page doesn’t show

The version that knows your environment.

This page is what’s public. Mallory adds the parts that aren’t: which of your assets match these IOCs, which detections are missing, which campaigns to expect next, and what to do in the next 30 minutes.

Start free trial

IOC matching

Match every observed IP, domain, and hash against your live telemetry.

Threat actor attribution1

Named campaigns wielding this family, with evidence pinned to each claim.

Exploited vulnerabilities

CVEs this family uses for access and lateral movement.

Detection signatures

YARA, Sigma, Snort, and vendor rules, auto-deployed to your SIEM.

MITRE ATT&CK mapping13

Every documented technique, ranked by evidence weight.

Researcher chatter

Reddit, Mastodon, and CTI community discussion around this family.

Back to malware

MalwareUsed by 1 actor

ruby5.3.exe

For your environment

Hunt this family in your stack

Mallory pivots from this family to the IOCs, detections, and named campaigns that touch your stack, and pages you when something new lands.

Start free trial

THREAT ACTORS

Groups observed using it

1 distinct threat actor attributed by public researchers. Open in Mallory to see the full evidence chain and overlapping campaigns.

View more details

Geo Likho

via securelist rusecurelist.ru

MITRE ATT&CK

Techniques & procedures

13 distinct techniques documented for this family, organized by ATT&CK tactic.

Persistence

2 techniques

T1112Modify RegistryEvidence1

T1547.009Shortcut ModificationEvidence1

Privilege Escalation

2 techniques

T1547.009Shortcut ModificationEvidence1

T1548.002Bypass User Account ControlEvidence1

Stealth

1 technique

T1027Obfuscated Files or InformationEvidence1

Defense Impairment

1 technique

T1112Modify RegistryEvidence1

Discovery

4 techniques

T1012Query RegistryEvidence1

T1082System Information DiscoveryEvidence1

T1083File and Directory DiscoveryEvidence1

T1518Software DiscoveryEvidence1

Collection

2 techniques

T1005Data from Local SystemEvidence1

T1039Data from Network Shared DriveEvidence1

команда nd Собрать файлы с подключенных и сетевых дисков.

Command and Control

2 techniques

T1071.001Web ProtocolsEvidence1

T1219Remote Access ToolsEvidence1

Exfiltration

1 technique

T1041Exfiltration Over C2 ChannelEvidence1

ACTIVITY FEED

Recent activity

1 sources tracked across advisories, community write-ups, and news. New activity surfaces here as Mallory finds it.

1 SOURCESView more in app

securelist ruNews

Apr 22, 2026

What this page doesn’t show

The version that knows your environment.

Start free trial

IOC matching

Match every observed IP, domain, and hash against your live telemetry.

Threat actor attribution1

Named campaigns wielding this family, with evidence pinned to each claim.

Exploited vulnerabilities

CVEs this family uses for access and lateral movement.

Detection signatures

YARA, Sigma, Snort, and vendor rules, auto-deployed to your SIEM.

MITRE ATT&CK mapping13

Every documented technique, ranked by evidence weight.

Researcher chatter

Reddit, Mastodon, and CTI community discussion around this family.