LONDON (IT BOLTWISE) – Ein neu strukturierter DevMan-RaaS-Portalzugang bündelt Payload-Builds, Opferkommunikation, Teamstrukturen und Auszahlungen in einer gemeinsamen Oberfläche. Damit verschiebt sich die Umsetzung von Ransomware-Aktionen weg von rein chatbasierter Koordination hin zu einem formalisierteren Betriebsmodell. Laut einer Auswertung wurden im Januar 2026 mit Version v3 neue Funktionen für strukturierte Opferdaten und lifecycle-Workflows ergänzt. Gleichzeitig rückt die interne Risiko- und Kommunikationslage in den Fokus, nachdem Vorwürfe zu einem möglichen Insider-Tatbestand im Umfeld eines Sicherheitsanbieters öffentlich wurden.
Das DevMan-Ransomware-as-a-Service (RaaS) wirkt auf den ersten Blick wie ein typisches Plattformangebot für Affiliates. Bei genauerer Betrachtung ist die zentrale Komponente jedoch die Arbeitsumgebung selbst: Eine dedizierte Web-Plattform bündelt nicht nur Build-Generierung und Finanzübersicht, sondern auch Opfer-Chats, Support, Opfer-Records, Teamfunktionen und die Mechanik der Auszahlung. Ein Schweizer IT-Security-Anbieter ordnet dieses zentralisierte Setup unter dem Namen Funky Mantis ein und beschreibt die Plattform als „single pane of glass“ für mehrere Rollen im Angriffsbetrieb. Für Unternehmen ist das relevant, weil es die Komplexität in der Angreifer-Organisation reduziert: Statt Koordination über wechselnde Chats entstehen feste Workflows, die wiederholbare Umsetzung und schnellere Tempo-Entscheidungen begünstigen.
Technisch wird die Plattform als mehrschichtiger Baukasten beschrieben, der auch den Zugangshandel bzw. die Auslieferung von Zugängen in die RaaS-Logik integriert. Administratoren sollen dabei „Netzwerke“ auf Länderebene bereitstellen, Affiliates werden im System offenbar zwischen persönlichem Zugriff und programmgesteuertem Zugriff unterschieden. Zusätzlich nennt die Auswertung Bearbeitungsfenster von zwei bis drei Tagen bis zur Fertigstellung, was auf einen betriebswirtschaftlich getakteten Ablauf hindeutet: Zeitpläne sind im RaaS entscheidend, weil sich „Opportunity Costs“ direkt auf die Chance auswirken, ob eine Opferorganisation noch reagiert, Verhandlungen führt oder durch Präventionsmaßnahmen offline geht. Dass sich DevMan zudem früh als Affiliate in Erscheinung brachte und später auf eigene RaaS-Aktivität wechselte, passt in das Bild einer Iteration von losem Ökosystem hin zu standardisierter Lieferkette.
Ein besonders aufschlussreiches Detail betrifft die Angriffsphilosophie rund um industrielle Umgebungen. DevMan soll in einem Interview gegenüber einer Sicherheitsforschungseinordnung eingeräumt haben, mit Conti gearbeitet zu haben, und gleichzeitig eine „specialized SCADA locker“-Ausrichtung behauptet haben, die progressive physische Schäden über die reine Verschlüsselung hinaus anstrebt. Die Beschreibung, die in diesem Zusammenhang genannt wird, zielt darauf ab, industrielle Steuerungssysteme über ihre Betriebsgrenzen zu drücken – inklusive CPU- und Speicherbelastung sowie thermischem Stress – bis Hardware ausfällt. Auch wenn solche Aussagen immer im Kontext der Selbstdarstellung von Threat Actors zu interpretieren sind, zeigt die technische Ausgestaltung der Locker-Komponenten, dass DevMan die Palette moderner Ransomware-Funktionen ernsthaft abdeckt: Neben mehrstufigen Prozess- und Service-Terminationen, Ereignisprotokoll-Beeinflussung und Discovery von lokalen sowie Netzlaufwerken werden auch seitliche Bewegungen und mehrthreadige Verschlüsselung genannt.
Die Plattform-Integration setzt dabei nicht nur auf Windows, sondern erweitert das Konzept auf mehrere Zielumgebungen: Die aktuelle Portallogik erlaubt Affiliates, Locker für Windows, ESXi und Linux zu erzeugen. Für Windows werden unter anderem Privilege-Checks genannt, um Administratorrechte zu erkennen, außerdem Recovery-Inhibition und optionale Selbstlöschung. Bei der Kryptografie wird ChaCha20-Poly1305 als Verschlüsselungsprimitive beschrieben, wobei eine größenbasierte Hybridstrategie zum Einsatz kommt: Dateien bis einschließlich 3 MiB sollen vollständig verschlüsselt werden, größere Dateien dagegen teilweise, indem pro 51 MiB ein 1 MiB Chunk verarbeitet wird. Aus Verteidigungssicht ist diese Konstruktion zweischneidig: Sie reduziert Rechen- und I/O-Kosten für große Datenbestände, erhöht aber gleichzeitig den Bedarf, Backup- und Snapshot-Strategien konsistent zu testen, weil die sichtbare Wiederherstellbarkeit und Integrität von partiell veränderten Dateien maßgeblich davon abhängt, wie Organisationen ihre Daten schützen.
Gerade deshalb geben die von dem Security-Anbieter formulierten Gegenmaßnahmen einen klaren Hinweis auf die Angriffsfläche, die im Betrieb meist unterschätzt wird: Konten für Dienste und Backups sollen nicht interaktiv per VPN zugreifen dürfen, sofern keine dokumentierte Betriebsnotwendigkeit besteht. Privilegierte Administration soll über „phishing-resistente“ Multi-Faktor-Authentifizierung laufen, und Teams sollen Zugangsdaten regelmäßig rotieren – mit besonderer Priorität auf Secrets, die lokale oder Domänerechte ermöglichen, beispielsweise aus VPN-Appliances, LDAP-Integrationen, Skripten und Backup-Tooling. Das ist auch deshalb wichtig, weil das DevMan-Modell laut Auswertung nicht nur mit Entführung von Daten arbeitet, sondern einen Betriebsrhythmus und Governance erzwingt: Rollen wie Administrator/Owner, Access Coordinator, Senior Operator sowie Affiliate werden in einem klaren Rollenbild abgebildet, Affiliates sollen nach dem Erzeugen des ersten Opfers in einen Corporate-Chat aufgenommen und nach etwa einem Monat ohne neuen Victim wieder entfernt werden. Dieses Governance-Modell reduziert Autonomie der Affiliates, stärkt aber die Fähigkeit der Kernverwaltung, Tempo, Risiko und Revenue-Lücken aktiv zu steuern.
Während das RaaS-Portal organisatorische Standardisierung verspricht, zeigt die Nebenmeldung, wie stark Kommunikation und Insider-Risiken den Erfolg solcher Operationen beeinflussen. Ein externer Security-Mitarbeiter hat Vorwürfe erhoben, dass es zwischen einem mit einem Sicherheitsunternehmen verbundenen Analysten und DevMan zu einem Austausch gekommen sei, der sensible Informationen aus dem Kontext von Strafverfolgungsanfragen betroffen haben könnte. Der Sicherheitsanbieter widersprach dem rechtlichen Charakter („poor judgement“) und kündigte an, die internen Richtlinien für Forscher verschärft sowie den Umgang mit Threat Actors trainiert zu haben. Der kritische Punkt in der Darstellung beider Seiten ist weniger die juristische Wortwahl als die operativen Konsequenzen: Wenn die Existenz einer laufenden behördlichen Anfrage oder konkrete Kontaktdaten in Richtung des Threat Actors gelangen, verändert sich die Prioritätensetzung im Angriffsbetrieb – etwa durch Anpassung von Tempo, Abbruchentscheidungen oder das Verschieben von Fokus auf andere Opfer.
Auch die reine Marktlage wirkt gedämpft, aber nicht „entschärft“. Laut einer Tracker-Statistik habe DevMan bis heute 184 Opfer reklamiert, mit keinen neuen Meldungen nach dem 4. Februar 2026; rund 50 davon sollen in den USA liegen, wobei Technologie, Healthcare, Financial Services, Professional Services und Regierungseinrichtungen zu den am stärksten betroffenen Sektoren gehören. Das passt zur übergreifenden targeting policy, die Angriffe außerhalb bestimmter Regionen erlaubt, kritische Infrastruktur explizit adressiert und für SCADA-Systeme einen separaten Encryptor anfordern soll. Zugleich existieren harte Ausschlüsse, darunter Kinder-bezogene Healthcare-Geschäfte sowie gezielte Leaks personenbezogener Daten Minderjähriger. Für die Abwehr bedeutet das: Es reicht nicht, nur gegen „typische“ IT-Forensik-Lücken vorzugehen; Organisationen müssen sich entlang der gesamten Kette absichern – von VPN- und Privileged-Access-Hygiene über Backup- und Recovery-Tests bis zur Kontrolle externer Kommunikationskanäle, in denen Incident-Status oder behördliche Signale ungewollt durchsickern könnten.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "DevMan-RaaS-Portal zentralisiert Payload-Builds, Opferverwaltung und Auszahlungen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "DevMan-RaaS-Portal zentralisiert Payload-Builds, Opferverwaltung und Auszahlungen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »DevMan-RaaS-Portal zentralisiert Payload-Builds, Opferverwaltung und Auszahlungen« bei Google Deutschland suchen, bei Bing oder Google News!