Helix Ransomware Grubu Kimdir?
Helix, ilk ilanı 7 Ağustos 2026'da kaydedilen yeni bir ransomware grubudur. İlanlarını sızıntı sitesi (DLS, data leak site) üzerinden yayımlıyor. Sızıntı sitesi, grubun kurbanlarını duyurduğu ve fidye ödenmezse çalınan verileri yayımlamakla tehdit ettiği web sitesidir. Araştırmacı kayıtlarındaki ilk görülme tarihi ile DrDisk Lab izleme verisindeki ilk kayıt aynı güne denk geliyor. Yani grubun bilinen faaliyeti başladığından beri izleme kapsamında bir boşluk yok ve aşağıdaki rakamlar grubun kamuya açık geçmişinin tamamını kapsıyor.
21 Ekim 2026 itibarıyla grubun kökeni, yönetimi ve iş modeli hakkında kamuoyunda güvenilir bilgi yok. Helix'in bir RaaS yapısı mı, yoksa kapalı bir ekip mi olduğu da belirsiz. RaaS (Ransomware-as-a-Service, hizmet olarak fidye yazılımı), yazılımı geliştiren çekirdek ekibin saldırıları gelir paylaşımı karşılığında iş ortaklarına yaptırdığı modeldir. Veri setinde bir üst grup ya da kardeş marka kaydı da bulunmuyor.
Bu bilinmezlik, aşağıda ele alınan bir çelişkiyle birlikte okunmalı. Soyağacı olmayan bir marka, faaliyetinin ilk haftalarında tanınmış ve büyük ölçekli ABD şirketlerini ilan ediyor. Böyle bir başlangıç ya deneyimli operatörlerin yeni bir isim altında çalıştığına ya da ilanların bir kısmının başka kaynaklardan derlenmiş verilere dayandığına işaret edebilir. Bu iki olasılık da şimdilik birer değerlendirmedir.
Saldırı Hacmi ve Seyri
Helix, 7 Ağustos ile 21 Ekim 2026 arasında toplam 17 kurban ilan etti. Grubun bütün faaliyeti 2026 yılı içinde, yaklaşık iki buçuk aylık bir pencerede gerçekleşti.
| Ay | İlan sayısı |
|---|---|
| Ağustos 2026 | 8 |
| Eylül 2026 | 0 |
| Ekim 2026 | 9 |
Seyir düzenli bir artış göstermiyor. Grubun ilanları iki yoğun dalga ve aradaki tam bir sessizlikten oluşuyor. Ekim ayındaki dalga özellikle sıkışık: veri setindeki son sekiz ilanın tamamı 17–21 Ekim arasındaki beş güne yayılıyor. Bu tablodan üç sonuç çıkıyor:
- İlan tarihi saldırı tarihi değildir. Kısa süreye sığdırılmış toplu ilanlar, saldırıların haftalar önce yapıldığını ve kurumlarla pazarlığın ilan öncesinde yürütüldüğünü düşündürüyor.
- Eylül'deki sessizlik faaliyetin durduğunu göstermez. Sessizliğin pazarlık sürelerine, altyapı sorunlarına ya da yeni kurbanların hazırlanmasına bağlı olduğu değerlendirilmektedir.
- Ekim'deki rakam Ağustos'u yalnızca bir ilan geçiyor. Bu, hacmin hızla büyüdüğünü değil, belli bir ritmin korunduğunu gösteriyor. 17 kayıt güvenilir bir eğilim çıkarmak için az. Grubun gerçek kapasitesini Kasım ve Aralık ilanları daha net gösterecek.
Hedef Profili
Sektörler
| Sektör | İlan sayısı |
|---|---|
| Üretim | 5 |
| Enerji | 2 |
| Hizmet | 2 |
| Lojistik | 2 |
| Eğitim | 1 |
| Finans | 1 |
| Sağlık | 1 |
| Emlak | 1 |
Üretim 5 ilanla açık farkla ilk sırada. Sonraki sektörlerin hiçbiri 2 ilanı geçmiyor. Üretim, enerji ve lojistiğin listenin üst sıralarında birlikte yer alması dikkat çekiyor. Bu üç sektörün ortak noktası fiziksel operasyon yürütmeleri ve kesintiye toleranslarının düşük olması. Üretim hattı ya da sevkiyat durduğunda zarar saatle ölçülür ve bu durum kurum üzerindeki ödeme baskısını artırır. Gruptaki iş ortağı ya da ortaklarının bu yüzden operasyonel kesintiye duyarlı kurumları özellikle seçtiği değerlendirilmektedir.
Ülkeler
| Ülke | İlan sayısı |
|---|---|
| ABD | 15 |
| Kanada | 1 |
Coğrafi yoğunlaşma sektörel dağılımdan çok daha keskin. İlanların neredeyse tamamı ABD'deki kurumlara ait ve Kuzey Amerika dışından hiç kayıt yok. Sektör ve ülke dağılımlarının toplamı 17'ye ulaşmıyor, yani bazı kayıtlar henüz sınıflandırılmadı. Bu eksik, yoğunlaşmanın yönünü değiştirmiyor.
Son ilanlar
| Kurum | Ülke | Sektör | İlan tarihi |
|---|---|---|---|
| Westrock Coffee | ABD | Perakende | 21 Ekim 2026 |
| Hypertherm | ABD | Üretim | 21 Ekim 2026 |
| American Campus | ABD | Eğitim | 19 Ekim 2026 |
| Southwire | ABD | Üretim | 18 Ekim 2026 |
| Quikrete | ABD | Üretim | 18 Ekim 2026 |
| Personify Health | ABD | Sağlık | 17 Ekim 2026 |
| Bay Alarm | ABD | Hizmet | 17 Ekim 2026 |
| Smith Douglas Homes | ABD | Üretim | 17 Ekim 2026 |
Tablodaki kayıtlar grubun kendi sızıntı sitesinde ileri sürdüğü iddialardır, doğrulanmış ihlaller değildir. Listede kendi alanında tanınan, büyük ölçekli şirketlerin ağırlıkta olması, faaliyetinin daha üçüncü ayında olan bir marka için alışılmadık bir durum. Bu durum, ilişki bölümünde ele alınan ortak kurban kayıtlarıyla birlikte değerlendirilmeli.
Gasp Modeli ve Sızıntı Altyapısı
Helix'in kurban ilan etme biçimi çifte gasp modeline uyuyor. Çifte gaspta saldırgan sistemleri şifrelemeden önce veriyi dışarı çıkarır. Ardından hem şifre çözme anahtarı için hem de verinin yayımlanmaması için ödeme talep eder. Kurban, yedeklerinden geri dönse bile verinin ifşa edilmesi tehdidiyle karşı karşıya kalır.
Grup için iki sızıntı sitesi tespit edildi ve 21 Ekim 2026 itibarıyla bunlardan yalnızca biri erişilebilir durumdaydı. Yeni gruplar yedek ya da ayna site kurabilir. Ancak altyapının yarısının erişilemez olması, kolluk baskısının ya da operasyonel istikrarsızlığın bir göstergesi de olabilir. Hangisinin geçerli olduğunu mevcut veri göstermiyor.
Veri setinde pazarlama kaydı ya da fidye notu örneği yok. Bu nedenle grubun talep düzeyi, pazarlık süresi ve notunun dili hakkında bir şey söylemek mümkün değil. Bu eksik ödeme kararı açısından da önemli. İki buçuk aylık geçmişi olan bir grubun, ödeme sonrası verileri sildiğine ya da çalışan bir şifre çözücü verdiğine dair izlenebilir bir sicili yok. Fidye ödemek bu nedenle tavsiye edilmez. Ödeme, verinin silindiğini ya da yeniden kullanılmayacağını garanti etmez.
Diğer Gruplarla İlişki
Ortak kurbanlar
| Grup | Ortak kurum | Mükerrer kayıt |
|---|---|---|
| Qilin | 2 | 0 |
| BlackSuit | 1 | 0 |
Helix'in 17 ilanından üçü, başka gruplarca da ilan edilmiş kurumlara ait. Mükerrer kayıt sayısının sıfır olması bunların aynı ilanın kopyası olmadığını, ayrı kayıtlar olduğunu gösteriyor. Bu örtüşme için üç açıklama olası:
- İş ortağı göçü: RaaS ekosisteminde iş ortakları (affiliate) markalar arasında geçiş yapabilir ya da aynı anda birden fazla markayla çalışabilir. İş ortağı, yazılımı kiralayıp saldırıyı fiilen yürüten kişi ya da ekiptir. Qilin, iş ortağı modeliyle çalışan büyük bir RaaS yapısı olduğu için en olası bağlantı noktası bu yönde değerlendirilmektedir.
- Ortak ilk erişim: İlk erişim aracıları (IAB, initial access broker), ele geçirdikleri ağ erişimlerini satan aktörlerdir. Aynı erişimi birden fazla alıcıya satmaları, bir kurumun farklı gruplarca ayrı ayrı vurulmasına yol açabilir.
- Verinin yeniden ilanı: BlackSuit, kamuoyunda Royal grubunun yeniden markalanmış hali olarak bilinir ve 2025 yazında altyapısı kolluk operasyonuyla hedef alınmıştı. Bu grupla ortak kurban bulunması, eski sızıntı verilerinin yeni bir marka altında yeniden dolaşıma sokulmuş olabileceği ihtimalini de gündeme getiriyor.
Benzer hedef profiline sahip gruplar
| Grup | Benzerlik | Toplam ilan |
|---|---|---|
| Dark Project | %94 | 36 |
| Payoutsking | %90 | 114 |
| Aurora | %90 | 49 |
| Securotrop | %89 | 41 |
| Iah6477 | %89 | 16 |
Benzerlik oranları yüksek olsa da dikkatli okunmalı. 17 kayıtlık bir profil, ABD ve üretim ağırlıklı çalışan pek çok grupla kolayca yüksek benzerlik üretir. Bu nedenle benzerlik tek başına bir bağlantı kanıtı değildir. Daha anlamlı sinyal ortak kurbanlardan geliyor. Benzer hedef listesindeki gruplarla kurban örtüşmesi yok, Qilin ve BlackSuit ile var. Helix'in kimliği sorgulanırken bu iki grubun iş ortağı ağına bakılması, hedef profili benzerliğinden daha verimli bir başlangıç noktasıdır.
Türkiye'deki Kuruluşlar İçin Anlamı ve Korunma Önerileri
21 Ekim 2026 itibarıyla Helix'in ilanları arasında Türkiye'den bir kurum yok. Kısa vadede doğrudan hedef alınma riski bu verilere göre düşük görünüyor. Yine de bu tespitin iki sınırı var. Birincisi, örneklem küçük ve süre kısa. İkincisi, iş ortağı göçü olasılığı coğrafi odağın hızla değişebileceği anlamına geliyor. Grubun ABD'deki üretim ağırlığı, ABD'li sanayi şirketlerine tedarik yapan ya da onlarla ortak sistem kullanan Türk üreticiler için dolaylı bir maruziyet yaratıyor.
Veri setinde Helix'e ait taktik, istismar edilen açık, araç, gösterge (IOC) ya da YARA kuralı yok. Bu, imzaya dayalı tespit için hazır bir dayanak bulunmadığı anlamına geliyor. Savunma bu nedenle davranış izlemeye ve genel dayanıklılık kontrollerine dayanmak zorunda. Öncelik sırası şöyle önerilir:
- Büyük hacimli dış veri aktarımının izlenmesi: Grubun gasp modeli sızıntı sitesine dayanıyor ve veri şifrelemeden önce çıkarılıyor. Olağan dışı dış aktarımı fark etmek, saldırıyı ifşa aşamasına gelmeden yakalamanın en erken fırsatıdır.
- Değiştirilemez ve ağdan ayrık yedek: Hedeflerin ağırlığı kesinti toleransı düşük üretim, enerji ve lojistik kurumlarında. Kurtarma süresini belirleyen asıl etken, saldırganın erişemediği yedeklerin varlığıdır.
- Ağ bölümlendirmesi ve BT ile üretim ağlarının ayrılması: Kurumsal ağdaki bir ihlalin üretim hattına ulaşmasını engellemek, üretim ağırlıklı bir hedef profiline karşı en doğrudan önlemdir.
- Uzaktan erişimde çok faktörlü doğrulama ve internete açık cihazlarda yama önceliği: Helix'in ilk erişim yöntemi bilinmiyor ve ortak kurbanlar ilk erişim aracısı kullanımı ihtimalini öne çıkarıyor. Satılabilir erişim yaratan dış yüzeyi daraltmak bu yüzden önemli.
- Tedarik zinciri bildirimlerinin olay olarak ele alınması: Kuzey Amerikalı bir iş ortağından gelen ihlal bildirimi, ortak hesapların, bağlantıların ve paylaşılan verilerin hemen gözden geçirilmesini gerektirmeli.
Saldırı yaşanırsa fidye ödenmemeli. Kişisel veri ihlali söz konusuysa KVKK kapsamında Kişisel Verileri Koruma Kurulu'na 72 saat içinde bildirim yükümlülüğü bulunuyor ve olay USOM'a da bildirilmeli. Etkilenen sistemlerin profesyonel olay müdahalesiyle incelenmesi gerekir. DrDisk Lab bu süreçte ücretsiz ön analiz sunmaktadır.
Sonuç
Helix'i değerlendirmede asıl soru hacim değil, kimlik. Grubun 17 ilanı kısa sürede yüksek profilli kurumlara ulaşıyor ve Qilin ile BlackSuit kurbanlarıyla örtüşüyor. Bu tablo, karşımızda yeni bir operatörden çok yeni bir vitrin olabileceğini düşündürüyor. Önümüzdeki dönemde izlenecek göstergeler şunlar: Kasım ayındaki ilan ritmi, Kuzey Amerika dışına çıkıp çıkmadığı, erişilemeyen ikinci sızıntı sitesinin durumu ve grubun teknik profiline dair ilk kamuya açık bulgular. Bu göstergeler, Helix'in kalıcı bir marka mı yoksa geçici bir yeniden paketleme mi olduğunu belirleyecek.
