Sözde Ne Kadar Veri Çalındı?

Helix, Uber Freight'tan aşağıdakiler de dahil olmak üzere geniş bir hassas iş verisi önbelleğini sızdırdığını iddia ediyor:

• Çalışan posta kutuları (e-postalar ve iletişimler)
• OneDrive dosyaları ve diğer bulut depoları
• Hesap ödeme ve alacak kayıtları (faturalama ve mali veriler)
• Sevk belgeleri ve operasyonel lojistik kayıtları
• Müşteri e-postaları ve iletişim bilgileri
• SharePoint depolarından dahili veriler

Grup, sızıntı sitesinde sözde verilerin örneklerini yayınladı . Uber Freight, Helix'in yayınladığı tüm dosyaların orijinalliğini bağımsız olarak doğrulamadı .

Uber Freight Nasıl Yanıt Verdi?

• "Sistemlerinin ve depolarının bir kısmına" yetkisiz erişimi doğruladı
• Olayın tespit edildiğini, kontrol altına alındığını ve giderildiğini belirtti
• İş operasyonlarına herhangi bir etki olmadığını – sistemlerin normal şekilde çalışmaya devam ettiğini bildirdi
• Soruşturmaya federal kolluk kuvvetlerini dahil etti
• Bir fidye talebinde bulunulup bulunulmadığını veya ödeme yapılıp yapılmadığını açıklamadı

Helix Nasıl Çalışıyor: Taktikler, Bağlantılar ve Kazançlar

Operasyonel Model

Helix, geleneksel anlamda bir fidye yazılımı şifreleme çetesi değil, finansal motivasyonlu bir veri gasp grubudur . LockBit gibi açık pazar markalarının aksine, tahmini 5-15 ortağı olan yarı kapalı bir Hizmet Olarak Fidye Yazılımı (RaaS) platformu olarak faaliyet göstermektedir .

Anahtar Taktikler (TTP'ler)

Helix, özellikle Microsoft 365 ve SharePoint olmak üzere kurumsal bulut ortamlarına karşı kimlik merkezli izinsiz girişlerde uzmanlaşmıştır . Bilinen taktikler şunları içerir:

• Sesli kimlik avı (Vishing) – kimlik bilgilerini elde etmek için BT desteği gibi davranarak çalışanların kişisel telefonlarını aramak
• Cihaz kodu kimlik avı (Device code phishing) – kullanıcıları kendi cihazlarında kimlik doğrulama isteklerini onaylamaları için kandırmak
• Otomatik SharePoint veri sızdırma – çalınan oturum belirteçlerini kullanarak bulut depolarından toplu dosya indirmek
• Dosya şifreleme kötü amaçlı yazılımı dağıtmak yerine kurumsal posta kutularını ve bulut depolamayı hedeflemek

Helix operatörlerinin, arayan kimliğinde hedefin doğrudan yöneticisinin adını kullanarak kimliklerine büründükleri gözlemlenmiştir . İçeri girdikten sonra, kalıcılık için yeni MFA uygulamaları kaydeder, ardından SharePoint'teki dosyaları numaralandırır ve sızdırırlar .

Bağlantılar

ReliaQuest ve Google Threat Intelligence Group araştırmacıları, Helix'i UNC6671 olarak izlenen daha geniş bir siber suçlu kümesine bağlamaktadır . Helix'in, Redact, Pink ve Falcon dahil diğer markalarla bağlantıları olan BlackFile ve ShinyHunters ekosisteminden ortaya çıktığı düşünülmektedir . Bu grupların parçalanma, yeniden markalaşma ve altyapı ile bağlı kuruluşları paylaşma eğiliminde oldukları bilinmektedir . Google, kümeyi Ocak ve Mayıs 2026 arasında 10,6 milyon doların üzerinde fidye ödemesi topladığı şeklinde izlemiştir .

Fidye Kazançları

Uber Freight olayından Helix'in spesifik fidye kazançları için kamuya açıklanmış herhangi bir toplam yoktur. Analistler, grubun 2026 ortalarında ortaya çıkmasından bu yana sızıntı sitesinde ulaşım, finansal hizmetler ve diğer sektörleri kapsayan en az 10-15 kurban yayınladığını tahmin etmektedir . Helix'in veri gasp modeli tipik olarak, sistemleri şifrelemek yerine çalınan verileri sızdırarak kurbanları ödemeye zorlamayı içerir .

Bu Güvenlik Ekipleri İçin Ne Anlama Geliyor?

Uber Freight ihlali, tehdit aktörlerinin yazılım güvenlik açıklarından yararlanmaktan kimlik ve güveni istismar etmeye nasıl geçtiğini göstermektedir. Helix'in oyun kitabı – kimlik bilgileri elde etmek için sesli kimlik avı, MFA'yı atlamak için cihaz kodu saldırıları ve otomatik bulut sızdırma – geleneksel uç nokta ve ağ savunmalarına yoğun yatırım yapmış kuruluşlara karşı işe yaramaktadır.

Önemli çıkarımlar:

• Kullanıcılar bir cihaz kodu isteğini onaylaması için kandırılabiliyorsa MFA tek başına yeterli değildir
• Sesli kimlik avı birincil ilk erişim vektörüdür; çalışanlar, dahili numaralardan veya yönetici adlarından gelse bile beklenmedik aramaları doğrulamak için eğitilmelidir
• Microsoft 365 ve SharePoint'teki bulut günlüğü ve izleme, toplu indirmeleri ve olağandışı kimlik doğrulama kalıplarını tespit etmelidir
• Olay müdahale planları, e-posta ve bulut depolamanın yalnızca uç noktaların değil, tehlikeye atıldığını varsaymalıdır
• Federal kolluk kuvvetlerine bildirimde bulunmak standart bir uygulamadır; FBI ve CISA benzer gasp soruşturmalarında yer almıştır

Büyük Resim

Helix yalnız bir kurt değildir. İlişkilendirme ve aksaklıklardan kaçınmak için parçalanan ve yeniden markalaşan hızla gelişen bir siber suç ekosistemindeki en son markadır. Grubun, 17 milyar dolarlık bir lojistik ağı işleten Uber Freight gibi gelişmiş bir şirkete karşı başarısı, saldırganların verileri depolayan sistemleri değil, verilere erişimi olan kişileri hedef aldığında sosyal mühendisliğe karşı savunmanın ne kadar zor olduğunu vurgulamaktadır.

Sözde Ne Kadar Veri Çalındı?

Helix, Uber Freight'tan aşağıdakiler de dahil olmak üzere geniş bir hassas iş verisi önbelleğini sızdırdığını iddia ediyor:

• Çalışan posta kutuları (e-postalar ve iletişimler)
• OneDrive dosyaları ve diğer bulut depoları
• Hesap ödeme ve alacak kayıtları (faturalama ve mali veriler)
• Sevk belgeleri ve operasyonel lojistik kayıtları
• Müşteri e-postaları ve iletişim bilgileri
• SharePoint depolarından dahili veriler

Grup, sızıntı sitesinde sözde verilerin örneklerini yayınladı . Uber Freight, Helix'in yayınladığı tüm dosyaların orijinalliğini bağımsız olarak doğrulamadı .

Uber Freight Nasıl Yanıt Verdi?

• "Sistemlerinin ve depolarının bir kısmına" yetkisiz erişimi doğruladı
• Olayın tespit edildiğini, kontrol altına alındığını ve giderildiğini belirtti
• İş operasyonlarına herhangi bir etki olmadığını – sistemlerin normal şekilde çalışmaya devam ettiğini bildirdi
• Soruşturmaya federal kolluk kuvvetlerini dahil etti
• Bir fidye talebinde bulunulup bulunulmadığını veya ödeme yapılıp yapılmadığını açıklamadı

Helix Nasıl Çalışıyor: Taktikler, Bağlantılar ve Kazançlar

Operasyonel Model

Helix, geleneksel anlamda bir fidye yazılımı şifreleme çetesi değil, finansal motivasyonlu bir veri gasp grubudur . LockBit gibi açık pazar markalarının aksine, tahmini 5-15 ortağı olan yarı kapalı bir Hizmet Olarak Fidye Yazılımı (RaaS) platformu olarak faaliyet göstermektedir .

Anahtar Taktikler (TTP'ler)

Helix, özellikle Microsoft 365 ve SharePoint olmak üzere kurumsal bulut ortamlarına karşı kimlik merkezli izinsiz girişlerde uzmanlaşmıştır . Bilinen taktikler şunları içerir:

• Sesli kimlik avı (Vishing) – kimlik bilgilerini elde etmek için BT desteği gibi davranarak çalışanların kişisel telefonlarını aramak
• Cihaz kodu kimlik avı (Device code phishing) – kullanıcıları kendi cihazlarında kimlik doğrulama isteklerini onaylamaları için kandırmak
• Otomatik SharePoint veri sızdırma – çalınan oturum belirteçlerini kullanarak bulut depolarından toplu dosya indirmek
• Dosya şifreleme kötü amaçlı yazılımı dağıtmak yerine kurumsal posta kutularını ve bulut depolamayı hedeflemek

Helix operatörlerinin, arayan kimliğinde hedefin doğrudan yöneticisinin adını kullanarak kimliklerine büründükleri gözlemlenmiştir . İçeri girdikten sonra, kalıcılık için yeni MFA uygulamaları kaydeder, ardından SharePoint'teki dosyaları numaralandırır ve sızdırırlar .

Bağlantılar

ReliaQuest ve Google Threat Intelligence Group araştırmacıları, Helix'i UNC6671 olarak izlenen daha geniş bir siber suçlu kümesine bağlamaktadır . Helix'in, Redact, Pink ve Falcon dahil diğer markalarla bağlantıları olan BlackFile ve ShinyHunters ekosisteminden ortaya çıktığı düşünülmektedir . Bu grupların parçalanma, yeniden markalaşma ve altyapı ile bağlı kuruluşları paylaşma eğiliminde oldukları bilinmektedir . Google, kümeyi Ocak ve Mayıs 2026 arasında 10,6 milyon doların üzerinde fidye ödemesi topladığı şeklinde izlemiştir .

Fidye Kazançları

Uber Freight olayından Helix'in spesifik fidye kazançları için kamuya açıklanmış herhangi bir toplam yoktur. Analistler, grubun 2026 ortalarında ortaya çıkmasından bu yana sızıntı sitesinde ulaşım, finansal hizmetler ve diğer sektörleri kapsayan en az 10-15 kurban yayınladığını tahmin etmektedir . Helix'in veri gasp modeli tipik olarak, sistemleri şifrelemek yerine çalınan verileri sızdırarak kurbanları ödemeye zorlamayı içerir .

Bu Güvenlik Ekipleri İçin Ne Anlama Geliyor?

Uber Freight ihlali, tehdit aktörlerinin yazılım güvenlik açıklarından yararlanmaktan kimlik ve güveni istismar etmeye nasıl geçtiğini göstermektedir. Helix'in oyun kitabı – kimlik bilgileri elde etmek için sesli kimlik avı, MFA'yı atlamak için cihaz kodu saldırıları ve otomatik bulut sızdırma – geleneksel uç nokta ve ağ savunmalarına yoğun yatırım yapmış kuruluşlara karşı işe yaramaktadır.

Önemli çıkarımlar:

• Kullanıcılar bir cihaz kodu isteğini onaylaması için kandırılabiliyorsa MFA tek başına yeterli değildir
• Sesli kimlik avı birincil ilk erişim vektörüdür; çalışanlar, dahili numaralardan veya yönetici adlarından gelse bile beklenmedik aramaları doğrulamak için eğitilmelidir
• Microsoft 365 ve SharePoint'teki bulut günlüğü ve izleme, toplu indirmeleri ve olağandışı kimlik doğrulama kalıplarını tespit etmelidir
• Olay müdahale planları, e-posta ve bulut depolamanın yalnızca uç noktaların değil, tehlikeye atıldığını varsaymalıdır
• Federal kolluk kuvvetlerine bildirimde bulunmak standart bir uygulamadır; FBI ve CISA benzer gasp soruşturmalarında yer almıştır

Büyük Resim

Helix yalnız bir kurt değildir. İlişkilendirme ve aksaklıklardan kaçınmak için parçalanan ve yeniden markalaşan hızla gelişen bir siber suç ekosistemindeki en son markadır. Grubun, 17 milyar dolarlık bir lojistik ağı işleten Uber Freight gibi gelişmiş bir şirkete karşı başarısı, saldırganların verileri depolayan sistemleri değil, verilere erişimi olan kişileri hedef aldığında sosyal mühendisliğe karşı savunmanın ne kadar zor olduğunu vurgulamaktadır.