ランサムウェア「DevMan」、攻撃プログラム構築や報酬支払いを一元管理する高度な専用ポータルを運営

要点

• ランサムウェア「DevMan」の運営元が、攻撃プログラムの生成から被害者管理、報酬の支払いまでを一括で行う専用のWebプラットフォームを運営していることが判明した。

• 2026年1月に公開された最新バージョンでは、被害者ごとのカスタマイズ機能や売上管理などが追加され、犯罪業務のシステム化がさらに進んでいる。

• このグループは初期侵入経路の仲介も行っており、国別のアクセスネットワークをアフィリエイト（ランサムウェアを用いた実際の攻撃実行犯）に提供して2〜3日以内の短期間での暗号化実行を要求している。

• 過去にはハードウェアの物理的破壊を狙ったマルウェアの開発を主張していたが、2025年の内部告発による幹部情報の暴露以降は活動が停滞し、2026年2月以降は新規被害が確認されていない。

• スイスのサイバーセキュリティ企業PRODAFTは2026年7月25日、ランサムウェア・アズ・ア・サービス（RaaS：ランサムウェアを開発して攻撃実行犯に提供する犯罪ビジネスモデル）「DevMan」のオペレーターが提供している専用Webポータルに関する詳細な調査レポートを公開した。同社が「Funky Mantis（ファンキー・マンティス）」と名付けて追跡しているこの犯罪ネットワークは、ペイロード（攻撃用のプログラム）構築から被害者とのチャット、金銭の支払い管理に至るまでを一つのシステムに統合し、サイバー攻撃ビジネスの効率化を進めているという。

犯罪業務のシステム化を推進する独自ポータル「v3」

PRODAFTの報告によると、DevManのポータルは単なる連絡用ツールにとどまらず、アフィリエイトのワークフローを組織化するための本格的なプラットフォームとして機能している。

2026年1月にリリースされた最新のバージョン3（v3）では、被害者ごとの暗号化ペイロードの個別生成機能や、ライフサイクルに応じた構造化された被害者記録、売上管理、アフィリエイトチームの作成および招待コントロール、進捗期限の追跡機能などが新たに追加された。これにより、チャットベースのその場限りのやり取りではなく、中央集権的な共通プラットフォームを通じて多数の侵入活動を管理・制御する体制が整えられている。

侵入経路の提供と厳しい時間制限

このプラットフォームの特徴の一つは、標的ネットワークへの初期侵入経路の仲介（アクセスブローカレッジ）とランサムウェアの展開業務が密接に連携している点である。

管理者はアフィリエイトに対し、国ごとに分類された侵入済みの「ネットワーク」を提供し、実行犯側が自前のアクセス経路を使うか、それともプラットフォーム側が提供する経路を使うかを選択させている。さらに、アフィリエイトに対しては攻撃開始から2〜3日という極めて短い期間内にランサムウェアの暗号化を完了させるよう猶予期限を設けており、迅速な攻撃遂行を強いる運用体制となっている。

グループの沿革と物理的破壊を狙ったSCADAマルウェアの存在

DevManは2025年4月、既存の著名なランサムウェアグループである「Qilin」「DragonForce」「Apos」「RansomHub」のアフィリエイトとしてサイバー犯罪の世界に登場し、その後独自のRaaS運営へとシフトした。彼らが使用するランサムウェアのコードは「DragonForce」のコードと強い類似性を示している。

2025年10月に公開されたインタビューで、DevManの運営者は過去にサイバー犯罪組織「Conti」と協業していたことを明かした。さらに、特定のガス会社を標的に設計された、プロセッサやメモリに極限まで負荷をかけて熱暴走を起こし、ハードウェアの物理的な損壊を狙う「SCADA（スキャダ：産業用制御システム）専用ロッカー」を開発したと主張していた。

また、イスラエル国家サイバー局（INCD）の報告によると、グループは英語やロシア語で活発にSNS発信を行い、自らの攻撃手順を自慢する書き込みを繰り返すなど、対外的に目立つ行動を好む特徴があった。

内部告発による失速と現在の活動状況

順調に見えたDevManの活動だったが、2025年6月に「GangExposed」と名乗る正体不明の内部告発者によってグループ幹部らの実名や身元が暴露されたことで大きな打撃を受けた。このドクシング（ネット上での個人情報の晒し行為）により一部のアフィリエイトが離脱したほか、GangExposedからTelegramを通じて0.3〜1ビットコインの金銭を脅し取られそうになったともされている。

ランサムウェア被害の追跡サイト「Ransomware.Live」の統計によれば、グループはこれまでに184件の被害を公表しているが、2026年2月4日を最後に新たな被害報告は確認されていない。これまでの被害者のうち約50件は米国に位置しており、テクノロジー、医療、金融、政府機関といった重要インフラセクターが主な標的となっていた。

厳格に定義された5つの役割とアフィリエイト管理

PRODAFTの調査では、DevManの運用において以下の5つのアカウントと役割が特定されている。

• LARVA-367: 組織の所有者であり中央調整役
• LARVA-546: ネットワークアクセスの代替連絡窓口となるアクセスコーディネーター
• LARVA-547: シニアオペレーター
• LARVA-548: シニアオペレーターまたは調整役
• LARVA-550: 実際に侵入と感染を担うアフィリエイト

この組織では、アフィリエイトは最初の被害者（感染成功）を出して初めてグループのチャットに参加でき、担当の「キュレーター（お世話役）」が割り当てられる。1ヶ月間新規の被害を出さなければグループから追放されるルールが存在する。さらに、勝手な行動を制限するため、チームの結成やRaaSとの関わりを公表するにはキュレーターの承認が必要であり、交渉が難航した場合には運営幹部が交渉を強制的に引き継ぐ権利を有するなど、徹底した組織統制が行われている。