منذ أبريل 2025، برزت مجموعة DevMan كأحد أبرز اللاعبين في سوق Ransomware-as-a-Service، بعد أن بدأت كجهة تابعة لبرامج مثل Qilin وDragonForce وApos وRansomHub، قبل أن تتحول إلى عملية مستقلة تحت الاسم الرمزي “Funky Mantis”. المنصة الإلكترونية التي تديرها المجموعة وفرت للأعضاء واجهة مركزية لبناء البرمجيات الخبيثة، إدارة الضحايا، متابعة الأرباح، وتنسيق عمليات الابتزاز، ما يعكس تطوراً ملحوظاً في أسلوب إدارة الهجمات السيبرانية.
خصائص المنصة وإدارة الشركاء
وفقاً لتقرير شركة PRODAFT، الإصدار الثالث من المنصة (يناير 2026) تضمن وظائف متقدمة مثل سجلات الضحايا، تتبع دورة الحياة، إنشاء الفرق، خيارات بناء مخصصة لكل ضحية، متابعة المواعيد النهائية، وإدارة الإيرادات. هذا التطور يعكس محاولة لتقنين سير العمل بين الشركاء وتجاوز التنسيق التقليدي عبر المحادثات. كما حددت المنصة خمسة أدوار رئيسية داخل العملية:
- LARVA-367: المدير المركزي والمنسق العام.
- LARVA-546: منسق الوصول.
- LARVA-547 وLARVA-548: مشغّلون كبار.
- LARVA-550: مشغّل تابع.
سياسات الاستهداف وتقاسم الأرباح
تسمح سياسات DevMan للشركاء باستهداف كيانات خارج دول رابطة الدول المستقلة وصربيا، مع رفع الحظر السابق عن السعودية، وتشجيع الهجمات على البنى التحتية الحيوية. كما طورت المجموعة مشفراً خاصاً بأنظمة SCADA لاستهداف شركات الطاقة. في المقابل، تفرض المنصة قيوداً أخلاقية شكلية مثل منع استهداف مؤسسات الرعاية الصحية للأطفال أو تسريب بيانات القُصّر. أما الأرباح، فتوزع بنسبة 80% للشريك و20% للإدارة، حيث تُحوّل الأموال إلى محفظتين منفصلتين لضمان السيطرة المالية.
قدرات البرمجيات الخبيثة
تحليل النسخة الخاصة بويندوز كشف عن وظائف متعددة تشمل تعطيل أنظمة الحماية، إنهاء العمليات والخدمات، منع الاستعادة، مسح سجلات الأحداث، اكتشاف الشبكات المحلية، التحرك الجانبي، التشفير متعدد الخيوط، وإنشاء ملاحظات الفدية. يعتمد التشفير على خوارزمية ChaCha20-Poly1305، حيث تُشفّر الملفات الصغيرة بالكامل بينما تُشفّر الملفات الكبيرة جزئياً لتسريع العملية.
تداعيات أمنية وقضية Huntress
تزامن الكشف عن المنصة مع جدل داخلي في شركة Huntress، حيث اتهم موظف سابق زميلة له بتمرير معلومات حساسة من مكتب التحقيقات الفيدرالي (FBI) إلى DevMan في ديسمبر 2025. ورغم أن الشركة وصفت الأمر بسوء تقدير، إلا أن الاتهامات أثارت مخاوف من وجود تهديد داخلي يسهّل عمل المهاجمين. هذه القضية تسلط الضوء على خطورة التداخل بين الباحثين الأمنيين والجهات الإجرامية، وما قد يترتب عليه من إضعاف جهود إنفاذ القانون.
