Helix हैक के अंदर: Uber Freight के डेटा उल्लंघन से क्लाउड ब्लैकमेल का नया चेहरा

ग्रुप ने कथित डेटा के नमूने अपनी लीक साइट पर पोस्ट किए हैं । Uber Freight ने स्वतंत्र रूप से Helix द्वारा पोस्ट की गई सभी फ़ाइलों की प्रामाणिकता की पुष्टि नहीं की है ।

Uber Freight की प्रतिक्रिया

• उल्लंघन की पुष्टि - "अपने सिस्टम और रिपॉजिटरी के एक हिस्से तक अनधिकृत पहुंच"
• घटना की पहचान, रोकथाम और सुधार का दावा
• व्यावसायिक संचालन पर कोई प्रभाव नहीं - सिस्टम सामान्य रूप से चल रहे हैं
• जांच में संघीय कानून प्रवर्तन को शामिल किया गया
• यह नहीं बताया गया कि फिरौती की मांग की गई या उसका भुगतान किया गया

Helix कैसे काम करता है: रणनीति, कनेक्शन और कमाई

ऑपरेशनल मॉडल

Helix एक आर्थिक रूप से प्रेरित डेटा-एक्सटॉर्शन ग्रुप है, न कि पारंपरिक रैनसमवेयर-एन्क्रिप्शन गिरोह । यह एक अर्ध-बंद Ransomware-as-a-Service (RaaS) प्लेटफ़ॉर्म के रूप में काम करता है जिसमें अनुमानित 5-15 सहयोगी (affiliates) हैं, लॉकबिट जैसा ओपन-मार्केट ब्रांड नहीं ।

मुख्य रणनीति (TTPs)

Helix एंटरप्राइज़ क्लाउड वातावरण, विशेष रूप से Microsoft 365 और SharePoint में पहचान-केंद्रित घुसपैठ में माहिर है । ज्ञात रणनीति में शामिल हैं:

• विशिंग (वॉइस फ़िशिंग) - आईटी सपोर्ट बनकर कर्मचारियों के व्यक्तिगत फ़ोन पर कॉल करके क्रेडेंशियल प्राप्त करना
• डिवाइस कोड फ़िशिंग - उपयोगकर्ताओं को अपने डिवाइस पर प्रमाणीकरण अनुरोधों को मंजूरी देने के लिए बरगलाना
• स्वचालित SharePoint डेटा एक्सफिल्ट्रेशन - चुराए गए सत्र टोकन का उपयोग करके क्लाउड रिपॉजिटरी से बल्क-डाउनलोड
• कॉर्पोरेट मेलबॉक्स और क्लाउड स्टोरेज को निशाना बनाना, फ़ाइल-एन्क्रिप्टिंग मैलवेयर नहीं

Helix ऑपरेटरों को कॉलर आईडी पर लक्ष्य के सीधे मैनेजर का नाम दिखाते हुए उनकी नकल करते देखा गया है । एक बार अंदर जाने के बाद, वे निरंतरता (persistence) के लिए नए MFA ऐप पंजीकृत करते हैं, फिर SharePoint से फ़ाइलों को सूचीबद्ध और एक्सफिल्ट्रेट करते हैं ।

कनेक्शन (Affiliations)

ReliaQuest और Google Threat Intelligence Group के शोधकर्ता Helix को UNC6671 नामक एक व्यापक साइबरक्रिमिनल क्लस्टर से जोड़ते हैं । माना जाता है कि Helix BlackFile और ShinyHunters पारिस्थितिकी तंत्र से उभरा है, जिसमें Redact, Pink, और Falcon जैसे अन्य ब्रांडों से संबंध हैं । ये समूह विखंडन, रीब्रांडिंग और बुनियादी ढाँचा तथा सहयोगियों को साझा करने के लिए जाने जाते हैं । गूगल ने ट्रैक किया कि इस क्लस्टर ने जनवरी से मई 2026 के बीच फिरौती के भुगतान में 1.06 करोड़ डॉलर से अधिक एकत्र किए ।

फिरौती से कमाई

Uber Freight घटना से Helix की विशिष्ट फिरौती कमाई का कोई सार्वजनिक रूप से पुष्टि किया गया आंकड़ा नहीं है। विश्लेषकों का अनुमान है कि 2026 के मध्य में उभरने के बाद से इस समूह ने अपनी लीक साइट पर कम से कम 10-15 पीड़ितों को पोस्ट किया है, जिसमें परिवहन, वित्तीय सेवाएँ और अन्य क्षेत्र शामिल हैं । Helix का डेटा-एक्सटॉर्शन मॉडल आमतौर पर सिस्टम को एन्क्रिप्ट करने के बजाय चुराए गए डेटा को लीक करके पीड़ितों पर भुगतान करने का दबाव बनाता है ।

सुरक्षा टीमों के लिए सबक

Uber Freight उल्लंघन दिखाता है कि कैसे खतरे वाले तत्वों ने सॉफ़्टवेयर कमज़ोरियों का फायदा उठाने से पहचान और विश्वास का शोषण करने की ओर रुख कर लिया है। Helix की खेल-पुस्तिका — क्रेडेंशियल प्राप्त करने के लिए वॉइस फ़िशिंग, MFA को बायपास करने के लिए डिवाइस कोड अटैक, और स्वचालित क्लाउड एक्सफिल्ट्रेशन — उन संगठनों के खिलाफ काम करती है जिन्होंने पारंपरिक एंडपॉइंट और नेटवर्क सुरक्षा में भारी निवेश किया है।

मुख्य निष्कर्ष:

• अकेला MFA पर्याप्त नहीं है यदि उपयोगकर्ता डिवाइस कोड अनुरोध को स्वीकृत करने के लिए बरगलाए जा सकते हैं
• वॉइस फ़िशिंग प्रारंभिक पहुंच का एक प्रमुख वेक्टर है; कर्मचारियों को आंतरिक नंबर या मैनेजर के नाम से भी अप्रत्याशित कॉल सत्यापित करने के लिए प्रशिक्षित करने की आवश्यकता है
• Microsoft 365 और SharePoint में क्लाउड लॉगिंग और मॉनिटरिंग को बल्क डाउनलोड और असामान्य प्रमाणीकरण पैटर्न का पता लगाना चाहिए
• घटना प्रतिक्रिया योजनाओं को मान लेना चाहिए कि ईमेल और क्लाउड स्टोरेज से समझौता किया गया है, न कि केवल एंडपॉइंट
• संघीय कानून प्रवर्तन की भागीदारी मानक अभ्यास है; FBI और CISA इसी तरह की जाँच में शामिल रहे हैं

बड़ी तस्वीर

Helix कोई अकेला भेड़िया नहीं है। यह तेज़ी से विकसित हो रहे साइबरक्रिमिनल पारिस्थितिकी तंत्र का नवीनतम ब्रांड है जो एट्रिब्यूशन और व्यवधान से बचने के लिए विखंडित और रीब्रांड होता है। Uber Freight जैसी परिष्कृत कंपनी के खिलाफ समूह की सफलता — जो $17 बिलियन का लॉजिस्टिक्स नेटवर्क चलाती है — यह रेखांकित करती है कि सोशल इंजीनियरिंग के खिलाफ बचाव करना कितना मुश्किल है जब हमलावर डेटा को स्टोर करने वाले सिस्टम के बजाय डेटा तक पहुंच रखने वाले लोगों को निशाना बनाते हैं।