DevMan RaaS nâng cấp cổng quản lý cho affiliate, tập trung build payload và điều phối thanh toán
"The article describes the DevMan ransomware-as-a-service operation, which runs a centralized affiliate portal for payload builds, victim management, support, and payout handling. The platform’s v3 update added structured victim records, team controls, per-victim build options, and deadline tracking, while the Windows locker uses ChaCha20-Poly1305 and includes anti-defense, lateral movement, and selective file encryption features; no CVE is mentioned."
Tác động đáng kể do cổng RaaS tập trung giúp chuẩn hóa quy trình tấn công và điều phối nhiều nạn nhân; locker có khả năng di chuyển ngang và vô hiệu hóa kiểm soát bảo mật. Điểm cần chú ý: ChaCha20-Poly1305 và cơ chế mã hóa theo ngưỡng kích thước file.
Nguy cơ gián đoạn hoạt động tăng khi nhóm có thể quản lý nhiều chiến dịch qua hồ sơ nạn nhân và deadline, đồng thời tối ưu hóa dòng tiền qua cơ chế chia sẻ. Điểm cần chú ý: khả năng nhắm mục tiêu theo chính sách và việc điều phối thanh toán theo ví hai ví tiền.
Báo cáo từ PRODAFT cho biết nhóm DevMan ransomware-as-a-service (RaaS) vận hành một cổng web dành cho affiliate, tập trung vào xây dựng payload, quản lý nạn nhân, kênh chat/hỗ trợ và xử lý thanh toán. Theo mô tả, cổng tích hợp cả cơ chế “broker”/phân phối quyền truy cập và triển khai ransomware, đồng thời áp đặt “mạng” theo quốc gia, lựa chọn nguồn truy cập (cá nhân hay do chương trình cung cấp) và khung hoàn thành 2–3 ngày.
Bản cập nhật v3 (tháng 1/2026) bổ sung hồ sơ nạn nhân có cấu trúc, trạng thái vòng đời, tạo team, kiểm soát lời mời, tùy chọn build theo từng nạn nhân, theo dõi deadline và các trường doanh thu; đồng thời mở rộng quyền truy cập vận hành theo mô hình chia sẻ. Nhóm cũng xác định các vai trò vận hành (ví dụ LARVA-367 là điều phối trung tâm) và cơ chế quản trị giúp giảm tự chủ của affiliate.
Về kỹ thuật, locker Windows sử dụng ChaCha20-Poly1305, có các chức năng như kiểm tra quyền, vô hiệu hóa kiểm soát bảo mật, chấm dứt tiến trình/dịch vụ, ức chế khôi phục, xóa log sự kiện, phát hiện chia sẻ và hỗ trợ di chuyển ngang; mã hóa toàn bộ với file ≤ 3 MiB, còn file lớn hơn mã hóa theo lô 1 MiB mỗi 51 MiB. PRODAFT khuyến nghị hạn chế tài khoản dịch vụ/backup đăng nhập VPN tương tác, áp dụng MFA chống lừa đảo cho quản trị từ xa và luân chuyển bí mật lộ ra từ thiết bị VPN/LDAP/script.