DevMan RaaS门户集中化运营：整合负载构建、受害者管理与附属分成

导语：瑞士网络安全公司PRODAFT最新披露，DevMan勒索软件即服务团伙运营着一个集中化的网络门户，整合负载构建、财务管理、受害者档案与分成结算等多项功能。该团伙采用v3版本平台并实施80-20%的收益分成模式，同时存在针对SCADA系统的专用加密器开发记录。

DevMan勒索软件即服务（RaaS）团伙的运营者维护着一个专用网络门户，为附属机构提供负载构建、收益监管以及受害者相关事务的全面管理能力。该门户将多个原本分散的功能整合到同一个集中化平台之中。

瑞士网络安全公司PRODAFT将这一集中管理的RaaS行动以代号Funky Mantis进行追踪。PRODAFT在提供给The Hacker News的详细报告中表示："该门户整合了负载生成、财务、受害者聊天、客服支持、受害者档案、团队管理以及分成结算等功能。"PRODAFT指出，"该服务将访问代理或访问分发与勒索软件部署相结合。管理员提供按国家划分的'网络'，询问附属机构是使用个人访问资源还是由项目统一提供，并设定了两到三天的完成时限。"

多项分析显示，DevMan最早于2025年4月作为Qilin、DragonForce、Apos和RansomHub的附属机构出现在威胁舞台上，之后才转向运营自己的RaaS项目。Vectra AI早在2025年10月就曾指出，该勒索软件的代码特征"明显属于DragonForce家族"，凸显了其共同的代码血统。在2025年10月接受安全研究员Jon DiMaggio采访时，DevMan承认曾与Conti合作，并声称他们开发了一款"专用SCADA加密器"，用于针对一家未具名的天然气公司，旨在造成超出加密范围的渐进式物理破坏。

据该威胁行为人所述，该恶意软件会"将工业控制系统推至超出其运行参数、处理器、内存和热极限的临界点，迫使系统持续高负荷运转直至硬件故障"。以色列国家网络管理局（INCD）在去年发布的一份公告中表示："该威胁行为人拥有高调的线上存在感，主要以英文（有时使用俄文）更新其发展动态、产品迭代以及一般性声明。""他们经常'炫耀'自己的成就，甚至会发布详细描述入侵方式和攻击过程的报告。"

DevMan的运营在2025年6月遭受重创，当时一个自称GangExposed的神秘吹哨人公开曝光了运营者的真实身份，导致部分附属机构脱离该项目。DevMan还声称GangExposed在Telegram互动期间曾试图以0.3到1个比特币向他们勒索。

根据Ransomware.Live的统计数据，该组织迄今已宣称攻击了184名受害者，2026年2月4日之后未再有新的受害者记录。受害者中有近50个位于美国，科技、医疗、金融服务、专业服务和政府部门是受攻击最严重的领域。

与该行动相关联的附属门户最初围绕负载构建、财务、受害者聊天和客服台等功能构建，此后又迎来了一次重大升级。2026年1月发布的v3版本平台新增了对结构化受害者档案、生命周期状态、团队创建、邀请控制、逐受害者负载选项、截止日期跟踪、收入字段以及共享运营访问的支持。PRODAFT评论称："这一演进表明运营者正努力将附属机构工作流程正式化，并通过统一平台管理多次入侵行动，而不再仅仅依赖基于聊天的协调方式。"

PRODAFT已在DevMan的行动中识别出五种不同的角色。PRODAFT表示："附属机构在产出第一名受害者后会被添加到企业聊天中，并被指派一名经验丰富的协调员。""如果一个月内没有新受害者产出，附属机构可能被移除。团队组建和项目所属关系的公开披露都需要协调员批准，这限制了独立协调以及与该服务的公开关联。"

核心管理层还保留在附属机构行为不当或未能遵守承诺时接管对话的权利。这种治理模式降低了附属机构的自主权，同时赋予管理员强制执行运营节奏和保护收入的能力。成功勒索后获得的非法所得按80-20%的比例进行分成，使附属机构能够获得相当比例的利润。v3平台的规则规定，赎金资金会被发送至两个钱包，一个归属于附属机构，另一个则与RaaS项目关联。

DevMan声明的目标策略允许附属机构对CIS国家及塞尔维亚以外的实体发起攻击。该政策同时排除了CIS领事馆和与CIS相关的公司，并取消了对沙特阿拉伯此前的攻击限制。除了明确鼓励针对关键基础设施的攻击外，该策略还指示附属机构针对SCADA系统申请专门的加密器，这印证了他们对专用SCADA加密器的研发工作。然而，该政策禁止附属机构攻击与儿童相关的医疗保健业务，以及故意泄露18岁以下未成年人的个人数据。