באפריל 2025 היה DevMan עוד שם אחד ברשימת השותפים של קבוצות כופרה גדולות. הוא הצפין רשתות של קורבנות עבור Qilin ו-DragonForce, קיבל את הנתח שלו מדמי הכופר, והמשיך הלאה. חצי שנה אחר כך כבר היה לו מבצע כופרה עצמאי משלו, עם פורטל אינטרנטי שבו שותפים בונים לעצמם את הנוזקה, מנהלים צ'אט מול הקורבן ועוקבים אחרי התשלומים. זה נראה פחות כמו כלי פשע ויותר כמו לוח בקרה של חברת תוכנה.

חוקרי חברת האבטחה השוויצרית PRODAFT פרסמו החודש ניתוח מלא של המבצע, שאותו הם עוקבים תחת השם Funky Mantis. התמונה שהם משרטטים היא של כופרה כשירות (RaaS, מודל שבו מפתח הכופרה משכיר אותה לשותפים שמבצעים את הפריצות בפועל ומתחלקים איתו בכסף) שבנויה כמו מוצר: פורטל אחד שמרכז בניית נוזקה, ניהול כספים, צ'אט עם הקורבנות, תמיכה, רשומות ותשלומים. במקביל, החוקר Jon DiMaggio מחברת Analyst1 בילה חודשים בשיחות מוצפנות עם DevMan עצמו, כולל שיחות קוליות נדירות, ותיעד את האדם שמאחורי המבצע. בהמשך נראה מי הוא, איך הפורטל בנוי, כמה עולה להצטרף, ומה הלוקר באמת מסוגל לעשות.

מי עומד מאחורי DevMan

לפי DiMaggio, DevMan התחיל לפעול באמצע אפריל 2025 כשותף מן השורה של שלוש קבוצות כופרה מוכרות: Qilin (המכונה גם Agenda), DragonForce ו-APOS. הוא לא נשאר שם הרבה זמן. עד יולי 2025 הוא כבר ניתק את עצמו, לקח את קוד המקור של DragonForce שדלף לרשת, שינה אותו, והתחיל להריץ אתרי הדלפה משלו. הגרסה הרשמית של מבצע הכופרה כשירות עלתה לאוויר ב-30 בספטמבר 2025.

מה הניע אותו? כששאלו אותו על המטרות, התשובה הייתה בהיקף של גנב מקצועי, לא של האקר בודד. הוא רצה זרם קבוע של גישות לרשתות, בסדר גודל של אלפיים בשבוע, מרשת מחשבים נגועים. DiMaggio מתאר טיפוס עם שאיפות ניהוליות ברורות, מישהו שרוצה לשבת בראש הפירמידה ולא להישאר בתחתית. חלק מהתוכניות שחשף נגעו לתשתיות קריטיות, ובעיקר לתחום האנרגיה.

הפורטל שמנהל את המבצע

הלב של המבצע הוא הפורטל. לפי PRODAFT, הוא משלב במקום אחד את בניית הנוזקה, ניהול הכספים, הצ'אט מול הקורבן, התמיכה, רשומות הקורבנות, ניהול הצוותים והתשלומים. הגרסה השלישית שלו, שיצאה בינואר 2026, הוסיפה ניהול מסודר של רשומות קורבן: מעקב אחרי השלב שבו נמצא כל קורבן, הגדרת דדליינים, בנייה מותאמת של נוזקה לכל קורבן בנפרד, ומעקב אחרי ההכנסות.

מעניין לא פחות מה שהפורטל מוכר יחד עם הנוזקה. מנהלי המבצע מציעים לשותפים גם גישה מוכנה לרשתות, לפי מדינה, ושואלים מראש אם השותף מתכוון להשתמש בגישה משלו או בגישה שהם יספקו. לצד זה הם קובעים חלון של יומיים עד שלושה ימים לסיום המשימה. כלומר, לא רק כלי, אלא קו ייצור שלם: גישה לרשת, נוזקה בנויה, לוח זמנים, ותשתית לגבות את הכסף.

כמה עולה להיות שותף

ההצטרפות אינה פתוחה לכל אחד. לפי המסמכים ש-DiMaggio ראה, שותף חדש מחוץ למדינות חבר העמים נדרש להפקיד עשרת אלפים דולר, להוכיח ניסיון קודם בכופרה כשירות, ולהציג הוכחה לפריצה עם לפחות 100 ג'יגה-בייט של מידע שכבר הוצא מהקורבן. מי שעובר את הסף נכנס למודל עמלות שמדרג את הנתח של המפעיל לפי גודל הקורבן: 22% על חברות עם מחזור עד 20 מיליון דולר, 17% עד 50 מיליון, 12% עד 75 מיליון, ו-7% בלבד עד 100 מיליון. מעל זה, המחיר נקבע בנפרד.

הכיוון של המספרים הוא הסיפור: ככל שהקורבן גדול יותר, המפעיל לוקח פחות. זה תמריץ ישיר לשותפים לצוד דגים גדולים, כי שם הם שומרים כמעט את כל הכופר. שאר הכללים משלימים את התמונה של עסק מנוהל. הכופר חייב לעבור לשני ארנקים בו-זמנית, כל מטבע קריפטו מתקבל חוץ מ-USDT, יש רף מינימלי של קורבנות לחודש כדי להישאר במערכת, ותקרת הנחה של 50% על סכום הכופר.

מה עושה הלוקר עצמו

הרכיב שמצפין בפועל את הקבצים, מה שנקרא בעגה לוקר, קיים בכמה גרסאות. גרסת ה-Windows מצפינה כוננים מקומיים וגם כונני רשת דרך פרוטוקול SMB (הפרוטוקול שבו מחשבי Windows משתפים קבצים ביניהם), ומגיעה עם כלי נפרד להפצה אוטומטית דרך GPO, מנגנון ההגדרות המרכזי שבו מנהל רשת דוחף מדיניות לכל המחשבים בארגון. ההצפנה עצמה מבוססת על ChaCha20-Poly1305, אלגוריתם מהיר וחזק. קבצים עד 3 מגה-בייט מוצפנים במלואם, וגדולים יותר מוצפנים חלקית כדי לחסוך זמן. יש גם גרסאות ל-Linux, ל-NAS ול-ESXi.

פרט אחד שווה לעצור עליו. ללוקר יש מצב שמדכא את פתק הכופר על מחשבי המשתמשים: הקורבן הבודד לא רואה כלום, והפתק נוצר רק על ה-domain controller, השרת המרכזי שמנהל את המשתמשים בארגון. הרעיון פשוט. ככל שפחות אנשים רואים משהו חריג מוקדם, כך גדל הסיכוי שההצפנה תספיק לרוץ עד הסוף לפני שמישהו מרים דגל. מנהלי המבצע גם מעדכנים את הנוזקה מדי יום, ומתהדרים בכך שהיא אינה מזוהה כלל בבדיקות שגרתיות ברגע ההרצה.

מתחת למעטפת המלוטשת הזאת מסתתר קוד עם עבר צנוע יותר. לפי ניתוח של ANY.RUN, הבסיס הוא קוד DragonForce שדלף, עם טכניקות שירשו בתורן מ-Conti, וקבצים מוצפנים מקבלים את הסיומת devman. בגרסאות המוקדמות היו גם באגים חובבניים למדי, כולל אחד שבו הנוזקה הצפינה בטעות את פתקי הכופר של עצמה והשאירה את הקורבן בלי הוראות תשלום. הפער בין הפורטל המהוקצע לקוד הגולמי הוא אחד הדברים הבולטים במבצע.

ההבטחה של תשתיות קריטיות שאיש לא אימת

החלק הרועש ביותר בסיפור הוא גם הכי פחות מוכח. DevMan טוען שיש לו לוקר ייעודי למערכות בקרה תעשייתיות (ICS/SCADA, המערכות שמפעילות ציוד פיזי במפעלים ובתשתיות). לפי הכללים, שותף שרוצה לתקוף תשתית קריטית צריך לבקש את הלוקר הזה בנפרד מהמנהל. בשיחות עם DiMaggio הוא תיאר יכולת לדחוף מערכות בקרה מעבר לפרמטרים שלהן עד שהחומרה עצמה נהרסת. גם DiMaggio וגם PRODAFT מדגישים שאין לזה שום אישור עצמאי. "הזמן יגיד אם מדובר ביכולות אמיתיות או בהצהרות שאפתניות", כתב DiMaggio.

כללי המטרות מציירים תמונה של מבצע שמנסה למתג את עצמו כאחראי. אסור לתקוף מדינות חבר העמים וסרביה, אסור לפגוע בבתי חולים לילדים או להדליף מידע על קטינים, אבל בתי חולים אחרים ותשתיות קריטיות דווקא מותרים. את הפגיעה בבתי חולים DevMan הצדיק בטענה גאופוליטית על הפצצות נאט"ו ב-1999. בפועל, המספרים צנועים מהרטוריקה. לפי נתונים ש-PRODAFT הצליבה, המבצע רשם לזכותו 184 קורבנות בסך הכול, כמעט 50 מהם בארצות הברית, בעיקר בתחומי הטכנולוגיה, הבריאות, הפיננסים והשירותים המקצועיים. מאז 4 בפברואר 2026 לא נרשמה אף תביעת קורבן חדשה. אם המבצע מת, נכנס לתרדמה או פשוט החליף שם, עדיין לא ברור.

מה זה אומר בפועל

בשביל מי שמגן על רשת, הפרטים הטכניים חשובים יותר מהדרמה. הלוקר מתפשט לרוחב הרשת דרך SMB ומופץ דרך GPO מה-domain controller, ומצב פתק הכופר שמופיע רק בשרת המרכזי נועד לדחות את הרגע שבו מישהו יבחין בבעיה. לכן כדאי להפריד ולפלח רשתות, להגביל מי יכול לדחוף GPO ולגשת ל-domain controller, לעקוב אחרי תנועת SMB חריגה בין מחשבים, ולהחזיק גיבויים מנותקים שאי אפשר להצפין יחד עם כל השאר.