Os operadores do esquema de ransomware como serviço (RaaS) DevMan mantêm uma plataforma web dedicada que oferece aos afiliados a capacidade de criar payloads, acompanhar ganhos e gerenciar diversos aspectos relacionados às vítimas.
A empresa suíça de cibersegurança PRODAFT rastreia a operação centralizada de RaaS sob o nome Funky Mantis.
"O portal combinava geração de builds, finanças, chat com vítimas, suporte, registros de vítimas, equipes e funções de pagamento", disse a empresa em um relatório extenso compartilhado com o The Hacker News.
"O serviço integrava corretagem ou distribuição de acessos com a implantação do ransomware. Os administradores ofereciam 'redes' específicas por país, perguntavam se o afiliado usaria acesso próprio ou fornecido pelo programa e impunham janelas de conclusão de dois a três dias."
Diversas análises mostram que o DevMan surgiu no cenário em abril de 2025 como afiliado de Qilin, DragonForce, Apos e RansomHub, antes de migrar para sua própria operação de RaaS. O DNA do locker é "inquestionavelmente DragonForce", observou a Vectra AI em outubro de 2025, destacando a linhagem compartilhada do ransomware.
Em uma entrevista com o pesquisador de segurança Jon DiMaggio publicada em outubro de 2025, o DevMan reconheceu que trabalhou com o Conti e afirmou ter desenvolvido um "locker SCADA (Supervisory Control and Data Acquisition - controle supervisor e aquisição de dados) especializado" para atingir uma companhia de gás não identificada, projetado para causar danos físicos progressivos além da criptografia.
Segundo o agente de ameaça, o malware "empurraria os sistemas de controle industrial além de seus parâmetros operacionais, processadores, memória e limites térmicos, forçando os sistemas a acelerarem e funcionarem sob alta carga até que o hardware falhasse".
"O agente de ameaça opera com uma presença online de alto perfil e atualiza sobre desenvolvimentos, novidades e declarações gerais, principalmente em inglês e às vezes também em russo", afirmou a Diretoria Nacional Cibernética de Israel (INCD, na sigla em inglês) em um boletim divulgado no ano passado. "Eles frequentemente se gabam de suas conquistas, a ponto de publicarem artigos que descrevem a forma como obtiveram acesso e realizaram o ataque."
As operações do DevMan sofreram um golpe em junho de 2025, depois que um denunciante misterioso, que se identifica como GangExposed, expôs publicamente as identidades dos operadores, fazendo com que alguns afiliados abandonassem a operação. O DevMan também alegou que o GangExposed tentou extorqui-los por 0,3 a 1 Bitcoin durante suas interações no Telegram.
De acordo com estatísticas no Ransomware.Live, o grupo reivindicou 184 vítimas até o momento, sem novos registros após 4 de fevereiro de 2026. Quase 50 vítimas estão localizadas nos EUA, com os setores de tecnologia, saúde, serviços financeiros, serviços profissionais e governo sendo os mais visados.
O portal de afiliados associado à operação, que originalmente girava em torno de funções de builders, finanças, chat com vítimas e help desk, recebeu uma atualização. A terceira versão ("v3") da plataforma, lançada em janeiro de 2026, traz suporte para registros estruturados de vítimas, estados do ciclo de vida, criação de equipes, controles de convite, opções de build por vítima, acompanhamento de prazos, campos de receita e acesso operacional compartilhado.
"Essa progressão indica um esforço para formalizar os fluxos de trabalho dos afiliados e gerenciar múltiplas intrusões por meio de uma plataforma comum, em vez de depender apenas da coordenação baseada em chat", disse a PRODAFT.
A empresa de cibersegurança identificou cinco funções distintas dentro das operações do DevMan:
- LARVA-367 - Administrador/proprietário e coordenador central
- LARVA-546 - Coordenador de acesso, nomeado como ponto de contato alternativo para acesso à rede
- LARVA-547 - Operador sênior
- LARVA-548 - Operador sênior ou coordenador
- LARVA-550 - Afiliado/operador que recebeu crédito por uma instalação em uma mensagem de grupo controlada pelos atores
"Os afiliados eram adicionados ao chat corporativo após produzirem uma primeira vítima e recebiam um curador experiente", disse a PRODAFT. "Eles podiam ser removidos após um mês sem uma nova vítima. A formação de equipes e a divulgação da afiliação ao programa exigiam aprovação do curador, o que limitava a coordenação independente e a associação pública com o serviço."
A gestão central também se reserva o direito de assumir uma conversa caso um afiliado se comporte de forma inadequada ou não cumpra um compromisso. O modelo de governança reduz a autonomia do afiliado, ao mesmo tempo em que dá aos administradores o poder de impor o ritmo operacional e proteger suas receitas.
Os ganhos ilícitos obtidos após a extorsão bem-sucedida seguem uma divisão de 80-20%, permitindo que o afiliado fique com uma parte dos lucros. As regras da plataforma v3 determinam que os valores do resgate sejam enviados para duas carteiras, uma para o afiliado e outra vinculada ao programa RaaS.
A política de alvos declarada pelo DevMan permite que os afiliados ataquem entidades fora dos países da CEI (Comunidade dos Estados Independentes) e da Sérvia. Também exclui consulados da CEI e empresas ligadas à CEI, e revoga uma restrição anterior sobre a Arábia Saudita. Além de incentivar explicitamente ataques contra infraestruturas críticas, orienta os afiliados a solicitarem um encryptor separado para sistemas SCADA, corroborando o desenvolvimento de um locker SCADA especializado.
No entanto, a política proíbe que os afiliados ataquem negócios de saúde voltados a crianças e vazamentos intencionais de dados pessoais de menores de 18 anos.
A versão mais recente do portal permite que os afiliados criem um locker para Windows, ESXi ou Linux. Uma análise da versão para Windows identificou funções relacionadas à verificação de privilégios para determinar se está sendo executada como administrador, comprometimento de controles de segurança, encerramento de processos e serviços, inibição de recuperação, limpeza de logs de eventos, descoberta local e de compartilhamentos de rede, movimentação lateral, criptografia multithread, criação de notas de resgate e autodeleção opcional.
O locker criptografa os arquivos com ChaCha20-Poly1305. Arquivos de até 3 MiB (Mebibytes) são totalmente criptografados, enquanto os acima desse limite são parcialmente criptografados, processando um bloco de 1 MiB a cada 51 MiB.
"As organizações devem proibir o login interativo via VPN (rede privada virtual) para contas de serviço e backup, a menos que exista uma necessidade operacional documentada", disse a PRODAFT. "O acesso remoto e a administração privilegiada devem usar MFA (autenticação multifator) resistente a phishing. As equipes devem rotacionar credenciais expostas a appliances de VPN, integrações LDAP (Lightweight Directory Access Protocol), scripts e ferramentas de backup, com prioridade para segredos que possam conceder acesso administrativo local ou de domínio."
Huntress Enfrenta Alegações de Ameaça Interna
A divulgação também acontece em um momento em que Ben Folland, ex-funcionário da empresa de segurança Huntress, acusou outro analista de repassar comunicações da polícia americana para o DevMan. O incidente teria ocorrido em dezembro de 2025.
Em um post subsequente no blog, o CEO da Huntress, Kyle Hanslovan, afirmou que a empresa está ciente de "comunicações questionáveis de longo prazo com agentes de ameaça" entre um pesquisador de ameaças que ainda é funcionário da empresa de segurança e um cibercriminoso, classificando o caso como "julgamento ruim".
"Em uma troca específica, nosso atual colega de equipe revelou a um agente de ameaça que a polícia havia entrado em contato com ele sobre o agente de ameaça", disse Hanslovan. "Embora essa divulgação não tenha sido ilegal, refletiu um julgamento ruim."
"Como resultado da investigação, minha equipe implementou políticas mais robustas para nossos pesquisadores, orientou os colegas sobre como se relacionar com agentes de ameaça e tomou as medidas administrativas cabíveis. Embora não tenhamos encontrado evidências de conduta ilegal, atividade interna ou divulgações adicionais, continuamos nossa investigação."
Folland, no entanto, discordou da avaliação, afirmando que as ações do funcionário "se enquadram na definição de ameaça interna". O ex-funcionário da Huntress também questionou a empresa se o analista tinha permissão para se relacionar com o DevMan a fim de "apoiar investigações em andamento".
Segundo Folland, o FBI (Departamento Federal de Investigação dos Estados Unidos) teria contatado a funcionária da Huntress para coletar informações sobre o DevMan. "Ela imediatamente encaminhou as comunicações exatas do FBI para o agente de ameaça, incluindo capturas de tela com nomes de agentes do FBI", disse Folland. "Ela informou ao DevMan que a polícia estava investigando-o ativamente. Ela também se recusou a cooperar porque queriam o DevMan."
"Isso não foi apenas 'julgamento ruim'", continuou Folland. "Foi uma funcionária da Huntress tomando conhecimento sensível sobre uma abordagem policial e passando-o diretamente para a pessoa sob investigação. Se alguém dentro de um banco avisasse um golpista que a polícia está investigando-o, ninguém descreveria isso como mero 'julgamento ruim'. Chamariam pelo que é: uma ameaça interna."
