devman2

正体と来歴

DevMan（devman2、Devman）は、RansomLook に初出 2025-07-06 として記録されたランサムウェアグループである。Vectra は、DragonForce の改変コードで動くグループで、Conti や Black Basta を土台とする系譜の最新の一つと位置づけた。ただし同社は、攻撃者の特定は難しく、コードの再利用や配下の移動、ツールの共有の延長として捉えるべきだとも述べている [s7]。活動は 2025年4月中旬に始まり、当初は Qilin（Agenda）と DragonForce のアフィリエイトとして動き、APOS の活動とも関連づけられた [s7]。一方 Dragos は、同グループは単独で運営されると評した [s6]。2025年7月に DragonForce から分かれ、最初のリークサイト「DevMan's Place」を含む独自の基盤を立ち上げた [s7]。2025年9月30日には RaaS「DevMan 2.0」を公開し、アフィリエイト募集、ビルダーのダッシュボード、Rust 製の新亜種を備えた [s7]。Dragos は、運営を企業のように規律立てた組織で、アフィリエイトの審査と統制が厳しく、メディア露出も積極的に狙うと評している [s6]。

手口

初期侵入は、悪意ある添付ファイル付きのフィッシング（T1566）、RDP へのブルートフォースやクレデンシャルスタッフィングによる有効なアカウントの悪用（T1078）、VPN ゲートウェイや遠隔管理インタフェースなど境界サービスの悪用（T1190）である [s5]。初期の攻撃は DragonForce の手口に似ており、侵入に VPN を悪用し、横展開には SMB のプロービングを使った [s7]。内部では BloodHound で Active Directory の攻撃経路を可視化し、SoftPerfect Network Scanner で偵察し、Mimikatz で LSASS メモリから認証情報を取得した [s5]。実行と展開は PowerShell と cmd のスクリプト、横展開は PsExec と RDP で行い、従来型の RAT は使わない [s5]。セキュリティ製品やバックアップソフトの停止、ボリュームシャドウコピーの削除も行う [s5]。

暗号化の前に、MEGA などのクラウドストレージへ通常 50GB〜300GB（最大 2.5TB）を持ち出す [s5]。暗号化モードはフル、ヘッダのみ、カスタムの三つで、マルウェアは完全にオフラインで動作し、ネットワーク通信は SMB のみである [s7]。バージョン 1.0 は C++、2.0 は Rust で実装された [s6]。拡張子は .DEVMAN である [s7]。ランサムノートが自己暗号化される不具合や、Windows 11 で壁紙変更が失敗する不具合も確認された [s7]。脅迫はデータ暴露を優先する混合型で、カウントダウン付きの Tor リークサイトを使い、ノートでデータ公開とツール破壊を警告する [s5]。身代金の目安は、バージョン 1.0 で $60,000〜$2,500,000（中央値 $450,000〜$800,000）、2.0 で $1,000,000〜$91,000,000（中央値 $1M〜$7M）である [s5]。

連絡手段とリークサイト

RansomLook は連絡手段として tox を記録しており、ハンドルは 9D97F166730F865F793E2EA07B173C742A6302879DE1B0BBB03817A5A04B572FBD82F984981D である。侵入後の連絡は TOX プロトコルと Tor 隠しサービスを通じて行われる [s5]。RansomLook が記録するリークサイトは次のとおりで、いずれも停止中である。

wugurgyscp5rxpihef5vl6b6m5ont3b6sezhl7boboso2enib2k3q6qd[.]onion（dls） devmanblggk7ddrtqj3tsocnayow3bwnozab2s4yhv4shpv6ueitjzid[.]onion（mirror） tygjm32hxyqienrgwxveiaw3azbjmfaln2znn2hldz2oe6v453ngwlyd[.]onion（mirror）

標的と主な被害

Dragos は、重要インフラと医療の大規模組織への攻撃を強めていると評した。アフィリエイトには、重要インフラは売上 $100 million、医療は $50 million を基準に大組織を狙うよう指示している [s6]。Halcyon によれば、侵害された RDP アカウントから国の社会保障基金でドメイン管理者権限を得た事例があり、政府省庁の侵害では 2,000 システムが暗号化された [s5]。DevMan 2.0 の行動規範は、CIS 諸国と、子どもに関わる医療機関への攻撃を禁じている [s7]。

動向

2025年7月に DragonForce から独立し、同年9月30日に DevMan 2.0 で運営者から RaaS 提供者へ移った [s7]。DevMan 2.0 は、Windows・Linux・ESXi 向けの暗号化ツールを作れるウェブ型ダッシュボードを備える。収益分配は、売上が $20 million 未満のアフィリエイトに 22% で、データ窃取の自動化機能とランサムノートのカスタマイズ機能も付く [s7]。Vectra は、DevMan 2.0 は DragonForce に似た仕組みだが、ブランドと基盤、アフィリエイトの統制は単独の運営者の下にあると評した [s7]。2025年9月には DragonForce が Qilin、LockBit との連合を発表している [s7]。RansomLook が記録する三つのリークサイトは、現在いずれも停止中である。