Apa Data Yang Didakwa Dicuri

Helix mendakwa telah mengeluarkan pelbagai data perniagaan sensitif daripada Uber Freight, termasuk:

• Peti mel pekerja (e-mel dan komunikasi)
• Fail OneDrive dan repositori awan lain
• Rekod akaun belum bayar dan akaun belum terima (data pengebilan dan kewangan)
• Dokumen penghantaran dan rekod logistik operasi
• E-mel pelanggan dan maklumat hubungan
• Data dalaman daripada repositori SharePoint

Kumpulan itu telah menyiarkan sampel data yang didakwa di laman bocornya . Uber Freight tidak mengesahkan secara bebas kesahihan semua fail yang disiarkan Helix .

Bagaimana Uber Freight Bertindak Balas

• Mengesahkan pelanggaran "sebahagian daripada sistem dan repositorinya"
• Menyatakan insiden itu dikenal pasti, dibendung, dan dipulihkan
• Melaporkan tiada kesan ke atas operasi perniagaan – sistem terus berjalan seperti biasa
• Melibatkan penguatkuasaan undang-undang persekutuan dalam siasatan
• Tidak mendedahkan sama ada tuntutan tebusan dibuat atau dibayar

Bagaimana Helix Beroperasi: Taktik, Gabungan, dan Pendapatan

Model Operasi

Helix adalah kumpulan pemerasan data bermotifkan kewangan, bukan geng perisian tebusan dalam erti kata tradisional . Ia beroperasi sebagai platform Ransomware-as-a-Service (RaaS) separa tertutup dengan anggaran 5–15 ahli gabungan, bukan jenama pasaran terbuka seperti LockBit .

Taktik Utama (TTP)

Helix pakar dalam pencerobohan berpusatkan identiti terhadap persekitaran awan perusahaan, terutamanya Microsoft 365 dan SharePoint . Taktik yang diketahui termasuk:

• Vishing (pancingan data suara) – menelefon telefon peribadi pekerja sambil menyamar sebagai sokongan IT untuk mendapatkan kelayakan
• Pancingan data kod peranti – memperdaya pengguna untuk meluluskan permintaan pengesahan pada peranti mereka sendiri
• Pengeluaran data SharePoint automatik – menggunakan token sesi curi untuk memuat turun fail secara pukal daripada repositori awan
• Menyasarkan peti mel korporat dan storan awan daripada menggunakan perisian hasad yang menyulitkan fail

Pengendali Helix telah diperhatikan menyamar sebagai pengurus langsung sasaran dengan nama pada ID pemanggil . Setelah masuk, mereka mendaftar apl MFA baharu untuk kegigihan, kemudian menyenarai dan mengeluarkan fail daripada SharePoint .

Gabungan

Penyelidik di ReliaQuest dan Google Threat Intelligence Group mengaitkan Helix dengan kelompok jenayah siber yang lebih luas yang dikesan sebagai UNC6671 . Helix dipercayai muncul daripada ekosistem BlackFile dan ShinyHunters, dengan hubungan dengan jenama lain termasuk Redact, Pink, dan Falcon . Kumpulan ini diketahui berpecah, menukar jenama, dan berkongsi infrastruktur serta ahli gabungan . Google mengesan kelompok itu mengumpul lebih $10.6 juta dalam pembayaran tebusan antara Januari dan Mei 2026 .

Pendapatan Tebusan

Tiada jumlah yang disahkan secara umum untuk pendapatan tebusan khusus Helix daripada insiden Uber Freight. Penganalisis menganggarkan kumpulan itu telah menyiarkan sekurang-kurangnya 10–15 mangsa di laman bocornya sejak muncul pada pertengahan 2026, merangkumi pengangkutan, perkhidmatan kewangan, dan sektor lain . Model pemerasan data Helix biasanya melibatkan tekanan kepada mangsa untuk membayar dengan membocorkan data curi daripada menyulitkan sistem .

Apa Maksudnya untuk Pasukan Keselamatan

Pelanggaran Uber Freight menggambarkan bagaimana ancaman telah beralih daripada mengeksploitasi kelemahan perisian kepada mengeksploitasi identiti dan amanah. Buku panduan Helix — pancingan data suara untuk mendapatkan kelayakan, serangan kod peranti untuk memintas MFA, dan pengeluaran awan automatik — berkesan terhadap organisasi yang telah melabur banyak dalam pertahanan titik akhir dan rangkaian tradisional.

Pelajaran penting:

• MFA sahaja tidak mencukupi jika pengguna boleh diperdaya untuk meluluskan permintaan kod peranti
• Pancingan data suara adalah vektor akses awal utama; pekerja memerlukan latihan untuk mengesahkan panggilan yang tidak dijangka, walaupun dari nombor dalaman atau nama pengurus
• Pembalakan dan pemantauan awan dalam Microsoft 365 dan SharePoint mesti mengesan muat turun pukal dan corak pengesahan yang luar biasa
• Pelan respons insiden harus menganggap bahawa e-mel dan storan awan terjejas, bukan hanya titik akhir
• Penglibatan penguatkuasaan undang-undang persekutuan adalah amalan standard; FBI dan CISA telah terlibat dalam siasatan pemerasan yang serupa

Gambaran Besar

Helix bukan serigala tunggal. Ia adalah jenama terkini dalam ekosistem jenayah siber yang berkembang pesat yang berpecah dan menukar jenama untuk mengelakkan atribusi dan gangguan. Kejayaan kumpulan itu terhadap syarikat canggih seperti Uber Freight — yang menjalankan rangkaian logistik $17 bilion — menekankan betapa sukarnya untuk bertahan terhadap kejuruteraan sosial apabila penyerang menyasarkan orang yang mempunyai akses kepada data, bukan sistem yang menyimpannya.

Apa Data Yang Didakwa Dicuri

Helix mendakwa telah mengeluarkan pelbagai data perniagaan sensitif daripada Uber Freight, termasuk:

• Peti mel pekerja (e-mel dan komunikasi)
• Fail OneDrive dan repositori awan lain
• Rekod akaun belum bayar dan akaun belum terima (data pengebilan dan kewangan)
• Dokumen penghantaran dan rekod logistik operasi
• E-mel pelanggan dan maklumat hubungan
• Data dalaman daripada repositori SharePoint

Kumpulan itu telah menyiarkan sampel data yang didakwa di laman bocornya . Uber Freight tidak mengesahkan secara bebas kesahihan semua fail yang disiarkan Helix .

Bagaimana Uber Freight Bertindak Balas

• Mengesahkan pelanggaran "sebahagian daripada sistem dan repositorinya"
• Menyatakan insiden itu dikenal pasti, dibendung, dan dipulihkan
• Melaporkan tiada kesan ke atas operasi perniagaan – sistem terus berjalan seperti biasa
• Melibatkan penguatkuasaan undang-undang persekutuan dalam siasatan
• Tidak mendedahkan sama ada tuntutan tebusan dibuat atau dibayar

Bagaimana Helix Beroperasi: Taktik, Gabungan, dan Pendapatan

Model Operasi

Helix adalah kumpulan pemerasan data bermotifkan kewangan, bukan geng perisian tebusan dalam erti kata tradisional . Ia beroperasi sebagai platform Ransomware-as-a-Service (RaaS) separa tertutup dengan anggaran 5–15 ahli gabungan, bukan jenama pasaran terbuka seperti LockBit .

Taktik Utama (TTP)

Helix pakar dalam pencerobohan berpusatkan identiti terhadap persekitaran awan perusahaan, terutamanya Microsoft 365 dan SharePoint . Taktik yang diketahui termasuk:

• Vishing (pancingan data suara) – menelefon telefon peribadi pekerja sambil menyamar sebagai sokongan IT untuk mendapatkan kelayakan
• Pancingan data kod peranti – memperdaya pengguna untuk meluluskan permintaan pengesahan pada peranti mereka sendiri
• Pengeluaran data SharePoint automatik – menggunakan token sesi curi untuk memuat turun fail secara pukal daripada repositori awan
• Menyasarkan peti mel korporat dan storan awan daripada menggunakan perisian hasad yang menyulitkan fail

Pengendali Helix telah diperhatikan menyamar sebagai pengurus langsung sasaran dengan nama pada ID pemanggil . Setelah masuk, mereka mendaftar apl MFA baharu untuk kegigihan, kemudian menyenarai dan mengeluarkan fail daripada SharePoint .

Gabungan

Penyelidik di ReliaQuest dan Google Threat Intelligence Group mengaitkan Helix dengan kelompok jenayah siber yang lebih luas yang dikesan sebagai UNC6671 . Helix dipercayai muncul daripada ekosistem BlackFile dan ShinyHunters, dengan hubungan dengan jenama lain termasuk Redact, Pink, dan Falcon . Kumpulan ini diketahui berpecah, menukar jenama, dan berkongsi infrastruktur serta ahli gabungan . Google mengesan kelompok itu mengumpul lebih $10.6 juta dalam pembayaran tebusan antara Januari dan Mei 2026 .

Pendapatan Tebusan

Tiada jumlah yang disahkan secara umum untuk pendapatan tebusan khusus Helix daripada insiden Uber Freight. Penganalisis menganggarkan kumpulan itu telah menyiarkan sekurang-kurangnya 10–15 mangsa di laman bocornya sejak muncul pada pertengahan 2026, merangkumi pengangkutan, perkhidmatan kewangan, dan sektor lain . Model pemerasan data Helix biasanya melibatkan tekanan kepada mangsa untuk membayar dengan membocorkan data curi daripada menyulitkan sistem .

Apa Maksudnya untuk Pasukan Keselamatan

Pelanggaran Uber Freight menggambarkan bagaimana ancaman telah beralih daripada mengeksploitasi kelemahan perisian kepada mengeksploitasi identiti dan amanah. Buku panduan Helix — pancingan data suara untuk mendapatkan kelayakan, serangan kod peranti untuk memintas MFA, dan pengeluaran awan automatik — berkesan terhadap organisasi yang telah melabur banyak dalam pertahanan titik akhir dan rangkaian tradisional.

Pelajaran penting:

• MFA sahaja tidak mencukupi jika pengguna boleh diperdaya untuk meluluskan permintaan kod peranti
• Pancingan data suara adalah vektor akses awal utama; pekerja memerlukan latihan untuk mengesahkan panggilan yang tidak dijangka, walaupun dari nombor dalaman atau nama pengurus
• Pembalakan dan pemantauan awan dalam Microsoft 365 dan SharePoint mesti mengesan muat turun pukal dan corak pengesahan yang luar biasa
• Pelan respons insiden harus menganggap bahawa e-mel dan storan awan terjejas, bukan hanya titik akhir
• Penglibatan penguatkuasaan undang-undang persekutuan adalah amalan standard; FBI dan CISA telah terlibat dalam siasatan pemerasan yang serupa

Gambaran Besar

Helix bukan serigala tunggal. Ia adalah jenama terkini dalam ekosistem jenayah siber yang berkembang pesat yang berpecah dan menukar jenama untuk mengelakkan atribusi dan gangguan. Kejayaan kumpulan itu terhadap syarikat canggih seperti Uber Freight — yang menjalankan rangkaian logistik $17 bilion — menekankan betapa sukarnya untuk bertahan terhadap kejuruteraan sosial apabila penyerang menyasarkan orang yang mempunyai akses kepada data, bukan sistem yang menyimpannya.