Il ransomware as a service continua a evolversi e DevMan rappresenta un esempio chiaro di come i gruppi criminali stiano industrializzando ogni fase dell’estorsione. Al centro dell’operazione c’è un portale web dedicato agli affiliati che non si limita a distribuire il malware, ma unifica in un unico pannello la creazione dei payload, la gestione delle vittime, le chat di negoziazione, il supporto e soprattutto la parte finanziaria con tracciamento dei guadagni e pagamenti.
La piattaforma mostra un modello organizzativo maturo. Gli amministratori propongono accessi a reti già compromesse anche in base al paese e chiedono agli affiliati se useranno accesso personale o fornito dal programma. Vengono imposte finestre operative strette di due o tre giorni per completare l’attacco, segno di una governance che mira a massimizzare velocità e rendimento. Il portale è stato aggiornato alla versione v3 con record delle vittime strutturati, stati del ciclo di vita, creazione di team, inviti controllati, opzioni di build per singola vittima, scadenze e campi di revenue, riducendo la dipendenza da coordinamento via chat.
All’interno del gruppo emergono ruoli distinti tra proprietario coordinatore, coordinatore degli accessi e operatori senior. Gli affiliati entrano nei canali interni solo dopo aver prodotto una prima vittima e vengono affiancati da un curatore esperto. La permanenza può essere revocata se non generano nuove vittime entro un mese e la creazione di team o la divulgazione dell’affiliazione richiede approvazione, limitando autonomia e rischi reputazionali per il programma.
Il modello di profitto segue una ripartizione 80/20 a favore dell’affiliato, con invio del riscatto su due wallet separati. La policy di targeting esclude paesi CIS e Serbia e alcune entità collegate, mentre incoraggia attacchi anche a infrastrutture critiche e prevede un encryptor dedicato per ambienti SCADA. Sul piano tecnico il locker supporta Windows, ESXi e Linux.
Caratteristiche principali della variante Windows
- Controllo privilegi e verifica dei permessi necessari.
- Disabilitazione di misure di sicurezza per ridurre le difese attive.
- Terminazione di processi e servizi che possono bloccare la cifratura.
- Blocco del recovery per ostacolare il ripristino dei dati.
- Pulizia dei log per ridurre le tracce dell’attività.
- Discovery locale e su share per individuare file e risorse di rete.
- Movimento laterale per propagarsi in ambienti interconnessi.
- Cifratura multithread per aumentare velocità ed efficacia.
- Creazione della nota di riscatto per avviare la fase di estorsione.
- Auto-cancellazione opzionale per ridurre l’esposizione post-attacco.
Schema di cifratura
La cifratura usa ChaCha20-Poly1305 con schema ibrido: completo per file fino a 3 MiB e parziale sopra soglia.