PRODAFT’ın son incelemesi, DevMan adlı fidye yazılımı grubu için kullanılan merkezi bir RaaS portalının saldırı operasyonunu tek bir kontrol panelinde topladığını ortaya koydu. Sistem, zararlı üretimi, mağdur takibi, iletişim, destek, ekip yönetimi ve fidye gelirlerinin paylaşımını aynı platform üzerinden yürütüyor. İsviçre merkezli siber güvenlik şirketi, bu merkezi yönetilen operasyonu “Funky Mantis” adıyla izlediğini belirtti.
Şirketin The Hacker News ile paylaştığı kapsamlı raporda, portalın build oluşturma, finans, mağdur sohbeti, destek, mağdur kayıtları, ekipler ve ödeme işlevlerini bir araya getirdiği aktarıldı. PRODAFT ayrıca sistemin erişim aracılığı ya da erişim dağıtımı ile fidye yazılımı konuşlandırmasını aynı çatı altında birleştirdiğini yazdı. Administratörlerin ülkeye özel “network” teklif ettiği, iştirakçiye kişisel erişim mi yoksa programın sağladığı erişim mi kullanacağını sordukları ve tamamlanması için iki ila üç günlük süre verdikleri belirtildi.
Yayımlanan bulgulara göre DevMan, Nisan 2025’te Qilin, DragonForce, Apos ve RansomHub için bir iştirak olarak görünmeye başladı; ardından kendi RaaS yapısına geçti. Vectra AI, Ekim 2025’te kilit sürücüsünün DNA’sının “tartışmasız biçimde DragonForce” çizgisi taşıdığını not etmişti. Aynı dönemde güvenlik araştırmacısı Jon DiMaggio ile yapılan bir röportajda DevMan, Conti ile çalıştığını kabul etmiş ve adı açıklanmayan bir gaz şirketini hedeflemek için “özel bir SCADA locker” geliştirdiğini söylemişti.
DevMan’e göre bu özel zararlı, endüstriyel kontrol sistemlerini çalışma parametrelerinin dışına itmek üzere tasarlandı. Grup, işlemci, bellek ve termal limitlerin zorlanacağını, sistemlerin ısınarak çalışmaya devam etmeye mecbur bırakılacağını ve sonunda donanım arızasına yol açılacağını iddia etti. Aynı anlatımda, şifreleyicinin klasik dosya kilitlemenin ötesinde fiziksel hasar üretmeyi amaçladığı ifade edildi.
Erişim, şifreleme ve gelir aynı panelde
PRODAFT, portalın yalnızca zararlı üretmek için değil, saldırının tüm akışını yönetmek için kurulduğunu aktardı. Sistemde build oluşturma, finans takibi, mağdur sohbeti, destek masası, mağdur kayıtları, ekipler ve ödeme işlevleri birlikte yer alıyordu. Administratörlerin ülkeye özel “network” teklif ettiği, bir iştirakçinin kişisel mi yoksa programın sağladığı erişimi mi kullanacağını sorduğu ve işlemlere iki ila üç günlük tamamlama penceresi koyduğu belirtildi.
Şirketin analizine göre bu yapı, klasik chat tabanlı koordinasyonun ötesine geçerek ortak bir platform üzerinden çoklu sızmaları yönetmeyi hedefliyor. Aynı portalda erişim aracılığı veya erişim dağıtımı ile fidye yazılımı konuşlandırmasının birlikte sunulduğu, yani giriş aşaması ile yükleme aşamasının aynı operasyonel düzende birleştirildiği kaydedildi. PRODAFT, bu ilerlemenin iştirakçi iş akışlarını resmileştirme ve saldırıları yalnızca sohbet üzerinden değil ortak bir sistemden yönetme çabasına işaret ettiğini söyledi.
Portalın ocak 2026’da yayımlanan üçüncü sürümü, yapılandırılmış mağdur kayıtları, yaşam döngüsü durumları, ekip oluşturma, davet denetimi, her kurban için ayrı build seçenekleri, son tarih takibi, gelir alanları ve paylaşımlı operasyon erişimi desteği getirdi. Aynı sürümde fidye parasının iki cüzdana yönlendirildiği, bunlardan birinin iştirakçiye, diğerinin ise RaaS programına bağlı olduğu kurallar arasında yer aldı. İllegal gelir dağılımının 80-20 oranıyla paylaşıldığı da raporda belirtildi.
PRODAFT, bu yapının merkezinde beş ayrı rol bulunduğunu belirledi. LARVA-367 yönetici ve merkezi koordinatör olarak tanımlandı. LARVA-546, ağ erişimi için alternatif irtibat noktası olan erişim koordinatörü olarak kayda geçti. LARVA-547 ve LARVA-548 kıdemli operatör rolünde yer aldı. LARVA-550 ise aktör kontrollü bir grup mesajında kurulumla ilişkilendirilen iştirakçi/operatör olarak kredilendirildi.
Araştırmaya göre iştirakçiler, ilk kurbanı ürettikten sonra kurumsal sohbete ekleniyor ve kendilerine deneyimli bir küratör atanıyordu. Bir ay boyunca yeni kurban çıkarmazlarsa gruptan çıkarılabiliyorlardı. Ekip oluşumu ve programa bağlılığın açık edilmesi de küratör onayına bağlanmıştı. PRODAFT, bu mekanizmanın bağımsız koordinasyonu ve servise açıkça bağlı görünmeyi sınırladığını aktardı.
DevMan’in yönetim kadrosu, bir iştirakçi uygunsuz davranırsa ya da taahhüdünü yerine getirmezse konuşmanın kontrolünü devralma hakkını da elinde tutuyor. Şirket, bu yönetişim modelinin iştirakçi özerkliğini daralttığını, yöneticilere ise operasyon temposunu dayatma ve gelir akışını koruma gücü verdiğini kaydetti.
Grubun ilan ettiği hedefleme politikasında da ayrıntılar yer aldı. İştirakçilerin BDT ülkeleri ve Sırbistan dışındaki kurumlara saldırmasına izin verildi. BDT konsoloslukları ve BDT bağlantılı şirketler hedef dışı bırakıldı, Suudi Arabistan üzerindeki önceki kısıtlama ise kaldırıldı. Grup, kritik altyapıya yönelik saldırıları açıkça teşvik etti ve SCADA sistemleri için ayrı bir encryptor talep edilmesini istedi. Buna karşılık çocuklarla ilgili sağlık işletmelerine saldırı ve 18 yaş altındaki kişilere ait kişisel verilerin kasıtlı sızdırılması yasaklandı.
Portalın en son sürümü, iştirakçilerin Windows, ESXi veya Linux için locker oluşturmasına da izin veriyor. Windows sürümünün analizinde, yönetici olarak çalışıp çalışmadığını denetleyen işlevlerin yanı sıra güvenlik kontrollerini zayıflatma, işlem ve servis sonlandırma, kurtarmayı engelleme, olay günlüklerini temizleme, yerel ve ağ paylaşımlarını keşfetme, yatay hareket, çok iş parçacıklı şifreleme, fidye notu oluşturma ve isteğe bağlı kendini silme özellikleri tespit edildi.
DevMan’in dosyaları ChaCha20-Poly1305 ile şifrelediği bildirildi. 3 MiB’e kadar olan dosyalar tamamen şifrelenirken, bu sınırın üzerindeki dosyalarda 51 MiB’lik her blok içinde 1 MiB’lik bir bölüm işleniyor. Böylece büyük dosyaların tamamı yerine belirli parçaları şifreleniyor.
İsrail Ulusal Siber Direktörlüğü de geçen yıl yayımladığı bültende aktörün yüksek profilli bir çevrimiçi varlık yürüttüğünü, gelişmelerle ilgili paylaşımlar yaptığını ve bunu çoğunlukla İngilizce, zaman zaman da Rusça ile sürdürdüğünü belirtmişti. Aynı bültende grubun başarılarını açıkça övdüğü, hatta erişimi nasıl elde edip saldırıyı nasıl gerçekleştirdiklerini anlatan yazılar paylaştığı aktarıldı.
DevMan’in operasyonu Haziran 2025’te de baskı yemişti. Kimliği belirsiz bir ihbarcı olarak ortaya çıkan GangExposed, operatörlerin kimliklerini kamuya ifşa edince bazı iştirakçilerin ağdan ayrıldığı bildirildi. DevMan ise Telegram görüşmeleri sırasında GangExposed’un kendilerinden 0,3 ile 1 Bitcoin arasında ödeme talep etmeye çalıştığını öne sürdü.
Ransomware.Live verilerine göre grup bugüne kadar 184 kurban üstlendi ve 4 Şubat 2026’dan sonra yeni kurban açıklanmadı. Hedeflerin yaklaşık 50’si ABD’de bulunuyor. En çok etkilenen sektörler arasında teknoloji, sağlık, finansal hizmetler, profesyonel hizmetler ve kamu kurumları yer alıyor.
PRODAFT, kurumların servis ve yedekleme hesaplarının etkileşimli VPN girişinde kullanılmasını, ortada belgelenmiş bir operasyonel gereksinim yoksa engellemesi gerektiğini söyledi. Uzaktan erişim ve ayrıcalıklı yönetim için kimlik avına dayanıklı çok faktörlü doğrulama öneren şirket, VPN cihazları, LDAP entegrasyonları, betikler ve yedekleme araçlarıyla açığa çıkmış kimlik bilgileri için de düzenli rotasyon çağrısı yaptı. Önceliğin yerel ya da alan yöneticiliği verebilecek sırlar üzerinde olması gerektiğini vurguladı.
Bu tablo ortaya çıkarken Huntress cephesinde de ayrı bir tartışma büyüdü. Şirketin eski çalışanlarından Ben Folland, kurum içindeki başka bir analistin ABD kolluk kuvvetlerinden gelen iletişimi DevMan’e aktardığını ileri sürdü. İddianın Aralık 2025’te yaşandığı belirtiliyor.
Huntress CEO’su Kyle Hanslovan ise daha sonra yayımladığı yazıda, hâlen şirkette çalışan bir tehdit araştırmacısı ile bir siber suçlu arasında “şüpheli, uzun soluklu iletişimler” bulunduğunun farkında olduklarını ve bu davranışı “kötü muhakeme” olarak değerlendirdiklerini söyledi. Hanslovan, bir görüşmede mevcut ekip arkadaşlarının bir tehdit aktörüne kolluk kuvvetlerinin kendisine ulaştığını aktardığını, bunun yasa dışı olmadığını ancak kötü bir karar olduğunu ifade etti.
Hanslovan’a göre şirket soruşturma sonrası araştırmacılar için daha sıkı kurallar devreye aldı, tehdit aktörleriyle iletişim kurma biçimi konusunda ekip arkadaşlarını yönlendirdi ve uygun idari adımları attı. Şirket şu ana kadar yasa dışı davranış, içeriden kasıtlı sızdırma ya da ek bir paylaşım bulmadığını, ancak incelemeyi sürdürdüğünü açıkladı.
Folland ise bu değerlendirmeye itiraz ederek çalışanın davranışının “iç tehdit” tanımına uyduğunu savundu. Eski Huntress çalışanı, analistin aktif soruşturmaları desteklemek adına DevMan ile iletişim kurmasına izin verilip verilmediğini de sorguladı.
Folland’ın aktardığına göre FBI, DevMan hakkında istihbarat toplamak için Huntress çalışanıyla temas kurdu. Eski çalışanın ifadesine göre çalışan, FBI’dan gelen mesajları, ajan isimlerini içeren ekran görüntüleriyle birlikte doğrudan tehdit aktörüne iletti ve kolluk kuvvetlerinin onu aktif biçimde incelediğini bildirdi. Folland, çalışanın DevMan için işbirliği yapmayı reddettiğini de öne sürdü.
Folland, bunun yalnızca kötü bir karar olarak geçiştirilemeyeceğini savunarak, kolluk kuvvetlerinin yaklaşımına dair hassas bilgiyi doğrudan soruşturulan kişiye aktarmanın iç tehdit örneği olduğunu söyledi. Tartışma, tehdit istihbaratı toplayan ekiplerin suçlularla kurduğu temasın sınırlarına dair yeni bir gerilim daha yarattı.