devman

正体と来歴

DevMan（Dragos 表記は Devman）はランサムウェアを運用するグループである。Vectra AI によれば、2025年4月中旬に最初に確認され、当初は Qilin（Agenda）と DragonForce のアフィリエイトとして動き、APOS の活動とも関連づけられた [s7]。RansomLook は初出を 2025-04-06 と記録している。2025年7月には DragonForce から分かれ、独自のインフラと最初のリークサイト「DevMan's Place」を立ち上げた [s7]。ANY[.]RUN が7月1日に公開した解析では、ペイロードは Conti を基にした DragonForce のコードを流用していた [s7]。ただし Vectra AI は、ランサムウェアの帰属判断は複雑で、DevMan は特定の運営者の延長と確定できず、コード再利用やアフィリエイトの移動、ツール共有の産物と捉えるのが妥当だと述べる [s7]。Dragos は同グループが独立して活動していると評した [s6]。2025年9月30日に「DevMan 2.0」を始動し、アフィリエイト募集とビルダーのダッシュボードを備えた RaaS へ移行した [s7]。ダッシュボードでは Windows、Linux、ESXi を対象とした暗号化ツールを作成でき、売上が2,000万ドル未満のアフィリエイトには22%の取り分が示された [s7]。行動規範では CIS 諸国と子どもに関わる医療機関への攻撃が禁じられている [s7]。Dragos によれば、バージョン 1.0（C++）から 2.0（Rust）へ短期間で移行し、規律ある企業的な内部構造とアフィリエイトの厳格な審査を特徴とする [s6]。

手口

初期侵入は、悪意ある添付ファイル付きのフィッシング（T1566）、RDP へのブルートフォースやクレデンシャルスタッフィングによる正規アカウントの悪用（T1078）、VPN ゲートウェイやリモート管理インターフェースなど境界サービスの脆弱性悪用（T1190）である [s5]。内部では BloodHound で Active Directory の攻撃経路を可視化し、SoftPerfect Network Scanner と SMB スキャンで偵察する [s5]。認証情報は Mimikatz による LSASS メモリのダンプ（T1003）と、ブラウザ保存情報を狙う独自のインフォスティーラー（T1555）で窃取する [s5]。横展開は PsExec と管理共有（T1021.002）、盗んだ認証情報による RDP（T1021.001）で行い、実行は PowerShell や cmd のスクリプトで行う。従来型の RAT は使わない [s5]。バージョン 2.0 ではグループポリシー（T1484.001）によるドメイン全体への配布も使われる [s5]。暗号化の前に、アンチウイルス、EDR、バックアップソフトを停止し（T1562.001）、ボリュームシャドウコピーを削除する（T1490）[s5]。データは MEGA などのクラウドストレージへ持ち出され、容量は通常50GBから300GB、最大2.5TBが記録されている [s5]。暗号化は完全、ヘッダーのみ、カスタムの3モードで、Windows Restart Manager API を悪用してファイルロックを回避する [s5]。ランサムウェアはオフラインで動作し、C2 のビーコンを出さない [s5]。壁紙変更は Windows 10 では動くが Windows 11 では失敗する [s5][s7]。脅迫はデータ暴露を先行させる混合型で、カウントダウン付きの Tor リークサイトを使い、ランサムノートでデータ公開とツール破壊を警告する [s5]。身代金の要求額は、v1.0 が60,000ドルから2,500,000ドル（中央値450,000〜800,000ドル）、v2.0 が1,000,000ドルから91,000,000ドル（中央値1M〜7M ドル）と上昇した [s5]。

連絡手段とリークサイト

侵入後の連絡には TOX プロトコルと Tor の隠しサービスが使われる [s5]。RansomLook は連絡手段を tox と記録し、ハンドルを 9D97F166730F865F793E2EA07B173C742A6302879DE1B0BBB03817A5A04B572FBD82F984981D としている。リークサイトは qljmlmp4psnn3wqskkf3alqquatymo6hntficb4rhq5n76kuogcv7zyd[.]onion で、RansomLook では停止中と記録されている。

標的と主な被害

Dragos によれば、Devman は重要インフラと医療分野の大規模組織への攻撃を強め、アフィリエイトに対し重要インフラは売上1億ドル、医療は5,000万ドルという基準を示している [s6]。被害の具体例として、Halcyon は国の社会保障基金で侵害された RDP アカウントからドメイン管理者権限が奪われた事例と、政府省庁で2,000システムが暗号化された事例を挙げている [s5]。

動向

Vectra AI によれば、2025年7月に DragonForce から離れて独自インフラへ移り、9月30日には DevMan 2.0 として RaaS 提供者へ転換した [s7]。同月、DragonForce が Qilin や LockBit との連合を発表しており、同じ名前がリークサイトやアフィリエイト、共有インフラに繰り返し現れると Vectra AI は指摘する [s7]。Dragos は DevMan が報道露出を積極的に追求し、世論形成を心理的圧力に使っているとも評した [s6]。