يحتفظ مشغلو نظام DevMan Ransomware-as-a-service (RaaS) بمنصة ويب مخصصة توفر للشركات التابعة القدرة على بناء الحمولات والإشراف على الأرباح وإدارة الجوانب المختلفة المتعلقة بالضحايا.
تقوم شركة الأمن السيبراني السويسرية PRODAFT بتتبع عملية RaaS المُدارة مركزيًا تحت الاسم السرعوف غير تقليدي.
وقالت الشركة في تقرير موسع تمت مشاركته مع The Hacker News: “تجمع البوابة بين إنشاء البناء والتمويل ودردشة الضحايا والدعم وسجلات الضحايا والفرق ووظائف الدفع”.
“تتكامل الخدمة مع وساطة الوصول أو توزيع الوصول مع نشر برامج الفدية. وقد عرض المسؤولون “شبكات” خاصة بكل بلد، وسألوا عما إذا كانت إحدى الشركات التابعة ستستخدم الوصول الشخصي أو الوصول الذي يوفره البرنامج، وفرضوا نوافذ إكمال مدتها يومين إلى ثلاثة أيام.”
تظهر التحليلات المختلفة أن DevMan ظهر لأول مرة على الساحة في أبريل 2025 كشركة تابعة لـ Qilin وDragonForce وApos وRansomHub، قبل التحول إلى عملية RaaS الخاصة بهم. أشارت Vectra AI في أكتوبر 2025 إلى أن الحمض النووي للخزانة هو “DragonForce بشكل لا لبس فيه”، مما يسلط الضوء على النسب المشترك لبرنامج الفدية.
في مقابلة مع الباحث الأمني جون ديماجيو نُشرت في أكتوبر 2025، اعترف DevMan بأنهم عملوا مع Conti وادعوا أنهم طوروا “خزانة SCADA متخصصة” لاستهداف شركة غاز غير مسماة تم تصميمها لإلحاق أضرار مادية تدريجية تتجاوز التشفير.
وفقًا لممثل التهديد، فإن البرامج الضارة “ستدفع أنظمة التحكم الصناعية إلى ما هو أبعد من معلمات التشغيل والمعالجات والذاكرة والحدود الحرارية، مما يجبر الأنظمة على تكثيف عملها وتشغيلها حتى تفشل الأجهزة”.
وقالت مديرية الإنترنت الوطنية الإسرائيلية (INCD) في نشرة صدرت العام الماضي: “يعمل ممثل التهديد بحضور رفيع المستوى عبر الإنترنت ويقوم بتحديث التطورات والتحديثات والبيانات العامة باللغة الإنجليزية وأحيانًا باللغة الروسية أيضًا”. “إنهم غالبًا ما يتفاخرون بإنجازاتهم، إلى درجة أنهم ينشرون مقالات تصف الطريقة التي تمكنوا بها من الوصول وتنفيذ الهجوم”.
تعرضت عمليات DevMan لضربة قوية في يونيو 2025 بعد أن أطلق أحد المخبرين الغامضين على أنفسهم اسم GangExposed وهويات المشغلين، مما تسبب في تخلي عدد قليل من الشركات التابعة عن العملية. زعم DevMan أيضًا أن GangExpose حاول ابتزازهم مقابل 0.3 إلى 1 بيتكوين أثناء تفاعلاتهم على Telegram.
وفقًا لإحصائيات موقع Ransomware.Live، فقد أودت المجموعة بحياة 184 ضحية حتى الآن، ولم يتم الإبلاغ عن ضحايا جدد بعد 4 فبراير 2026. ويوجد ما يقرب من 50 ضحية في الولايات المتحدة، حيث تمثل التكنولوجيا والرعاية الصحية والخدمات المالية والخدمات المهنية والقطاعات الحكومية الأكثر استهدافًا.
البوابة التابعة المرتبطة بالعملية، والتي كانت تدور في الأصل حول شركات البناء والتمويل ودردشة الضحايا ووظائف مكتب المساعدة، تلقت منذ ذلك الحين ترقية. يأتي الإصدار الثالث (“الإصدار 3”) من النظام الأساسي الذي تم إصداره في يناير 2026 مزودًا بدعم سجلات الضحايا المنظمة، وحالات دورة الحياة، وإنشاء الفريق، وضوابط الدعوة، وخيارات البناء لكل ضحية، وتتبع الموعد النهائي، وحقول الإيرادات، والوصول التشغيلي المشترك.
وقال PRODAFT: “يشير هذا التقدم إلى جهد لإضفاء الطابع الرسمي على سير العمل التابع وإدارة عمليات التطفل المتعددة من خلال منصة مشتركة بدلاً من الاعتماد فقط على التنسيق القائم على الدردشة”.
حددت شركة الأمن السيبراني خمسة أدوار متميزة ضمن عمليات DevMan –
- اليرقة-367 -المدير/المالك والمنسق المركزي
- اليرقة-546 – تم تسمية منسق الوصول كنقطة اتصال بديلة للوصول إلى الشبكة
- اليرقة-547 – مشغل كبير
- لارفا-548 – مشغل أو منسق أول
- لارفا-550 – الشركة التابعة/المشغل الذي تم اعتماده لإجراء التثبيت في رسالة جماعية يتحكم فيها الممثل
وقال PRODAFT: “تمت إضافة الشركات التابعة إلى دردشة الشركة بعد إنتاج الضحية الأولى وتم تعيين منسق ذي خبرة”. “يمكن إزالتها بعد شهر واحد دون وقوع ضحية جديدة. يتطلب تشكيل الفريق والكشف عن الانتماء للبرنامج موافقة المنسق، مما يحد من التنسيق المستقل والارتباط العام بالخدمة.”
تحتفظ الإدارة الأساسية أيضًا بالحق في تولي المحادثة إذا تصرف أحد الشركاء بشكل غير لائق أو فشل في الالتزام بالالتزام. يقلل نموذج الإدارة من استقلالية الشركة التابعة، بينما يمنح المسؤولين القدرة على فرض وتيرة التشغيل وحماية إيراداتهم.
العائدات غير المشروعة التي يتم الحصول عليها بعد الابتزاز الناجح تتبع تقسيمًا بنسبة 80-20٪، مما يسمح للشركة التابعة بكسب جزء كبير من الأرباح. تنص قواعد منصة v3 على أن أموال الفدية يتم إرسالها إلى محفظتين، واحدة للشركة التابعة والأخرى مرتبطة ببرنامج RaaS.
تسمح سياسة الاستهداف المعلنة لشركة DevMan للشركات التابعة بضرب كيانات خارج بلدان رابطة الدول المستقلة وصربيا. كما أنه يستثني قنصليات رابطة الدول المستقلة والشركات المرتبطة بها، ويرفع قيودًا سابقة كانت مفروضة على المملكة العربية السعودية. إلى جانب تشجيع الهجمات بشكل صريح ضد البنية التحتية الحيوية، فإنه يوجه الشركات التابعة لطلب تشفير منفصل لأنظمة SCADA، مما يدعم تطويرها على خزانة SCADA المتخصصة.
ومع ذلك، تحظر السياسة على الشركات التابعة مهاجمة شركات الرعاية الصحية المتعلقة بالأطفال والتسريبات المتعمدة للبيانات الشخصية للأشخاص الذين تقل أعمارهم عن 18 عامًا.
يتيح الإصدار الأحدث من البوابة للشركات التابعة إنشاء خزانة لنظام التشغيل Windows أو ESXi أو Linux. حدد تحليل إصدار Windows الوظائف المتعلقة بالتحقق من الامتيازات لتحديد ما إذا كان يعمل كمسؤول، وضعف التحكم في الأمان، وإنهاء العملية والخدمة، ومنع الاسترداد، ومسح سجل الأحداث، واكتشاف المشاركة المحلية والشبكة، والحركة الجانبية، والتشفير متعدد الخيوط، وإنشاء مذكرة فدية، والحذف الذاتي الاختياري.
تقوم الخزانة بتشفير الملفات باستخدام ChaCha20-Poly1305. يتم تشفير الملفات التي يصل حجمها إلى 3 ميجابايت بشكل كامل، في حين يتم تشفير الملفات التي تتجاوز الحد الأدنى جزئيًا عن طريق معالجة قطعة بحجم 1 ميجابايت لكل 51 ميجابايت.
وقال PRODAFT: “يجب على المؤسسات منع حسابات الخدمة والنسخ الاحتياطي من تسجيل الدخول التفاعلي عبر VPN ما لم تكن هناك متطلبات تشغيلية موثقة”. “يجب أن يستخدم الوصول عن بعد والإدارة المتميزة المصادقة متعددة العوامل (MFA) المقاومة للتصيد الاحتيالي. يجب على الفرق تدوير بيانات الاعتماد المكشوفة لأجهزة VPN وعمليات تكامل LDAP والبرامج النصية وأدوات النسخ الاحتياطي، مع إعطاء الأولوية للأسرار التي يمكنها منح الوصول الإداري المحلي أو المجال.”
تواجه الصيادة ادعاءات بوجود تهديد من الداخل
ويأتي هذا الكشف أيضًا في الوقت الذي اتهم فيه بن فولاند، الموظف السابق في شركة الأمن Huntress، محللًا آخر بتمرير اتصالات من سلطات إنفاذ القانون الأمريكية إلى DevMan. ويقال إن الحادث وقع في ديسمبر 2025.
وفي تدوينة لاحقة، قال كايل هانسلوفان، الرئيس التنفيذي لشركة Huntress، إن الشركة على علم بـ “اتصالات مشكوك فيها وطويلة الأمد بين ممثلين للتهديد” بين باحث تهديد لا يزال يعمل في شركة الأمن ومجرم إلكتروني، واصفًا إياها بـ “الحكم السيئ”.
وقال هانسلوفان: “في إحدى المحادثات المعينة، كشف زميلنا الحالي لأحد عناصر التهديد أن سلطات إنفاذ القانون قد تواصلت معهم بشأن ممثل التهديد”. “على الرغم من أن هذا الكشف لم يكن غير قانوني، إلا أنه يعكس سوء التقدير.”
“ونتيجة للتحقيق، نفذ فريقي سياسات أكثر قوة لباحثينا، وقام بتدريب زملائه على التعامل مع جهات التهديد، واتخذ الإجراءات الإدارية المناسبة. على الرغم من أننا لم نعثر على دليل على سلوك غير قانوني أو نشاط داخلي أو إفصاحات إضافية، فإننا نواصل تحقيقنا.”
ومع ذلك، اختلف هولاند مع التقييم، مشيرًا إلى أن تصرفات الموظف “تفي بتعريف التهديد الداخلي”. كما سأل الموظف السابق في Huntress عما إذا كان مسموحًا للمحلل بالتعامل مع DevMan “لدعم التحقيقات النشطة”.
يقال إن بير فولاند، مكتب التحقيقات الفيدرالي الأمريكي (FBI) قد اتصل بموظف Huntress لجمع معلومات استخباراتية عن DevMan. وقال فولاند: “لقد قامت على الفور بإرسال اتصالات مكتب التحقيقات الفيدرالي الدقيقة إلى جهة التهديد، بما في ذلك لقطات الشاشة التي تحتوي على أسماء عملاء مكتب التحقيقات الفيدرالي”. “لقد أبلغت DevMan أن سلطات إنفاذ القانون كانت تبحث عنه بنشاط. كما رفضت التعاون لأنهم أرادوا DevMan.”
وتابع فولاند: “لم يكن هذا مجرد حكم سيء”. “كان هذا أحد موظفي Huntress الذي يأخذ معلومات حساسة حول نهج إنفاذ القانون ويمررها مباشرة إلى الشخص الذي يتم التحقيق معه. إذا حذر شخص ما داخل أحد البنوك محتالًا من أن الشرطة تحقق معه، فلن يصف أحد ذلك بأنه مجرد “حكم سيء”. سوف يسمونه ما هو عليه – من الداخل.”
