{"id":1763,"date":"2026-07-25T18:25:45","date_gmt":"2026-07-25T18:25:45","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/25\/el-portal-devman-raas-centraliza-la-creacion-de-carga-util-la-gestion-de-victimas-y-los-pagos-de-afiliados-cyberdefensa-mx\/"},"modified":"2026-07-25T18:25:45","modified_gmt":"2026-07-25T18:25:45","slug":"el-portal-devman-raas-centraliza-la-creacion-de-carga-util-la-gestion-de-victimas-y-los-pagos-de-afiliados-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/25\/el-portal-devman-raas-centraliza-la-creacion-de-carga-util-la-gestion-de-victimas-y-los-pagos-de-afiliados-cyberdefensa-mx\/","title":{"rendered":"El portal DevMan RaaS centraliza la creaci\u00f3n de carga \u00fatil, la gesti\u00f3n de v\u00edctimas y los pagos de afiliados \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Los operadores del esquema de ransomware como servicio (RaaS) de DevMan mantienen una plataforma web dedicada que ofrece a los afiliados la capacidad de crear cargas \u00fatiles, supervisar las ganancias y gestionar diversos aspectos relacionados con las v\u00edctimas.<\/p>\n<p>La empresa suiza de ciberseguridad PRODAFT est\u00e1 siguiendo la operaci\u00f3n RaaS administrada centralmente bajo el nombre <strong>Mantis funky<\/strong>.<\/p>\n<p>\u00abEl portal combinaba funciones de generaci\u00f3n de edificios, finanzas, chat para v\u00edctimas, soporte, registros de v\u00edctimas, equipos y pagos\u00bb, dijo la empresa. <a href=\"https:\/\/catalyst.prodaft.com\/public\/report\/funky-mantis-platform-coordination-and-locker-analysis\/\" target=\"_blank\">dicho<\/a> en un extenso informe compartido con The Hacker News.<\/p>\n<p>\u00abEl servicio integraba la intermediaci\u00f3n de acceso o la distribuci\u00f3n de acceso con la implementaci\u00f3n de ransomware. Los administradores ofrecieron &#8216;redes&#8217; espec\u00edficas de cada pa\u00eds, preguntaron si un afiliado usar\u00eda acceso personal o proporcionado por el programa e impusieron ventanas de finalizaci\u00f3n de dos a tres d\u00edas\u00bb.<\/p>\n<p>Varios an\u00e1lisis muestran que DevMan apareci\u00f3 por primera vez en escena en abril de 2025 como afiliado de Qilin, DragonForce, Apos y RansomHub, antes de pasar a su propia operaci\u00f3n RaaS. El ADN del casillero es \u00abinconfundiblemente DragonForce\u00bb, Vectra AI <a href=\"https:\/\/www.vectra.ai\/blog\/from-conti-to-black-basta-to-devman-the-endless-ransomware-rebrand\" target=\"_blank\">anotado<\/a> en octubre de 2025, destacando la <a href=\"https:\/\/any.run\/cybersecurity-blog\/devman-ransomware-analysis\/\" target=\"_blank\">linaje compartido del ransomware<\/a>.<\/p>\n<p>En una entrevista con el investigador de seguridad Jon DiMaggio <a href=\"https:\/\/analyst1.com\/devmans-raas-launch-the-affiliate-who-aims-to-become-the-boss\/\" target=\"_blank\">publicado<\/a> En octubre de 2025, DevMan reconoci\u00f3 que hab\u00edan trabajado con Conti y afirmaron que hab\u00edan desarrollado un \u00abcasillero SCADA especializado\u00bb para apuntar a una compa\u00f1\u00eda de gas an\u00f3nima que fue dise\u00f1ado para infligir da\u00f1o f\u00edsico progresivo m\u00e1s all\u00e1 del cifrado.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/ai-vuln-protection-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjQl2axNwsfhbXOFynrg_uAZsvHi3OvNGSA8KJO-BKR8Xm3x7yjKV3EvfY4v5mwXx6LF0uWFb9h9d9iAV_Pi-YYhqimX9wx4OaLdDJEdR215Xrxq_PAtXkaLfQso4pTSjbj6fvh_ZTliLpzWZSZfcoZgyXtKwhN-SSDDlmbtUqGLshc0KqYQGWYHMN52Sl1\/s728-e100\/zz-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Seg\u00fan el actor de la amenaza, el malware \u00abempujar\u00eda los sistemas de control industrial m\u00e1s all\u00e1 de sus par\u00e1metros operativos, procesadores, memoria y l\u00edmites t\u00e9rmicos, obligando a los sistemas a acelerar y funcionar en caliente hasta que el hardware fallara\u00bb.<\/p>\n<p>\u00abEl actor de amenazas est\u00e1 operando con una presencia en l\u00ednea de alto perfil y actualizando sobre desarrollos, actualizaciones y declaraciones generales principalmente en ingl\u00e9s y a veces tambi\u00e9n en ruso\u00bb, dijo la Direcci\u00f3n Nacional Cibern\u00e9tica de Israel (INCD) <a href=\"https:\/\/www.gov.il\/BlobFolder\/reports\/alert_1907\/he\/ALERT-CERT-IL-W-1907.pdf\" target=\"_blank\">dicho<\/a> en un bolet\u00edn publicado el a\u00f1o pasado. \u00abA menudo &#8216;se jactan&#8217; de sus logros, hasta el punto de publicar art\u00edculos que describen la forma en que obtuvieron acceso y realizaron el ataque\u00bb.<\/p>\n<p>Las operaciones de DevMan sufrieron un golpe en junio de 2025 despu\u00e9s de que un misterioso denunciante se hiciera llamar GangExposed. <a href=\"https:\/\/www.halcyon.ai\/threat-group\/devman\" target=\"_blank\">p\u00fablicamente enga\u00f1ado<\/a> identidades de los operadores, lo que provoc\u00f3 que algunos afiliados abandonaran la operaci\u00f3n. DevMan tambi\u00e9n aleg\u00f3 que GangExposed intent\u00f3 extorsionarlos por 0,3 a 1 Bitcoin durante sus interacciones en Telegram.<\/p>\n<div class=\"separator\" style=\"clear: both;\"><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjU1JGRQmxk73dS226mglP0SH9D8PltLfVPEloXRpGPl7hJKNMDvmRFUNQD4v2VUSHjQNRpGV-dNbBYcFn4gFrXo0kdMDgKQP3ru-D39df2Hj7elt1f3m0q2-VGdFS0P7A4JTWQuRA6wGFs_xK8NTjDxJHDGY9jcveJEmXwJYPIX8zUXPBzI4u6Ek_jnr4Q\/s1700-e365\/raas.png\" style=\"clear: left; display: block; float: left;  text-align: center;\"><img decoding=\"async\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjU1JGRQmxk73dS226mglP0SH9D8PltLfVPEloXRpGPl7hJKNMDvmRFUNQD4v2VUSHjQNRpGV-dNbBYcFn4gFrXo0kdMDgKQP3ru-D39df2Hj7elt1f3m0q2-VGdFS0P7A4JTWQuRA6wGFs_xK8NTjDxJHDGY9jcveJEmXwJYPIX8zUXPBzI4u6Ek_jnr4Q\/s1700-e365\/raas.png\" alt=\"\" border=\"0\" data-original-height=\"918\" data-original-width=\"1614\"\/><\/a><\/div>\n<p>De acuerdo a <a href=\"https:\/\/ransomware.live\/group\/devman\" target=\"_blank\">estad\u00edstica<\/a> En Ransomware.Live, el grupo se ha cobrado 184 v\u00edctimas hasta la fecha, y no se han reportado nuevas v\u00edctimas despu\u00e9s del 4 de febrero de 2026. Casi 50 v\u00edctimas se encuentran en los EE. UU., siendo los sectores de tecnolog\u00eda, atenci\u00f3n m\u00e9dica, servicios financieros, servicios profesionales y gobierno los m\u00e1s atacados.<\/p>\n<p>Desde entonces, el portal de afiliados asociado con la operaci\u00f3n, que originalmente giraba en torno a funciones de constructores, finanzas, chat para v\u00edctimas y mesa de ayuda, ha recibido una actualizaci\u00f3n. La tercera versi\u00f3n (\u00abv3) de la plataforma lanzada en enero de 2026 incluye soporte para registros estructurados de v\u00edctimas, estados del ciclo de vida, creaci\u00f3n de equipos, controles de invitaci\u00f3n, opciones de creaci\u00f3n por v\u00edctima, seguimiento de fechas l\u00edmite, campos de ingresos y acceso operativo compartido.<\/p>\n<p>\u00abEsta progresi\u00f3n indica un esfuerzo por formalizar los flujos de trabajo de los afiliados y gestionar m\u00faltiples intrusiones a trav\u00e9s de una plataforma com\u00fan en lugar de depender \u00fanicamente de la coordinaci\u00f3n basada en chat\u00bb, dijo PRODAFT.<\/p>\n<p>La empresa de ciberseguridad ha identificado cinco roles distintos dentro de las operaciones de DevMan:<\/p>\n<ul>\n<li><strong>LARVA-367<\/strong> \u2013 Administrador\/propietario y coordinador central<\/li>\n<li><strong>LARVA-546<\/strong> \u2013 Coordinador de acceso nombrado como punto de contacto alternativo para el acceso a la red<\/li>\n<li><strong>LARVA-547<\/strong> \u2013 Operador senior<\/li>\n<li><strong>LARVA-548<\/strong> \u2013 Operador o coordinador senior<\/li>\n<li><strong>LARVA-550<\/strong> \u2013 Afiliado\/operador al que se le acredit\u00f3 una instalaci\u00f3n en un mensaje grupal controlado por un actor<\/li>\n<\/ul>\n<p>\u00abLos afiliados fueron agregados al chat corporativo despu\u00e9s de producir una primera v\u00edctima y se les asign\u00f3 un curador experimentado\u00bb, dijo PRODAFT. \u00abPodr\u00edan ser eliminados despu\u00e9s de un mes sin una nueva v\u00edctima. La formaci\u00f3n del equipo y la divulgaci\u00f3n de la afiliaci\u00f3n al programa requer\u00edan la aprobaci\u00f3n del curador, lo que limitaba la coordinaci\u00f3n independiente y la asociaci\u00f3n p\u00fablica con el servicio\u00bb.<\/p>\n<p>La direcci\u00f3n central tambi\u00e9n se reserva el derecho de hacerse cargo de una conversaci\u00f3n si un afiliado se comporta de forma inapropiada o no cumple un compromiso. El modelo de gobernanza reduce la autonom\u00eda de los afiliados, al tiempo que otorga a los administradores el poder de hacer cumplir el ritmo operativo y proteger sus ingresos.<\/p>\n<p>Los ingresos il\u00edcitos obtenidos despu\u00e9s de una extorsi\u00f3n exitosa se dividen entre el 80% y el 20%, lo que permite al afiliado obtener una parte de las ganancias. Las reglas de la plataforma v3 establecen que los fondos del rescate se env\u00edan a dos billeteras, una para el afiliado y otra vinculada al programa RaaS.<\/p>\n<p>La pol\u00edtica de focalizaci\u00f3n declarada de DevMan permite a los afiliados atacar entidades fuera de los pa\u00edses de la CEI y Serbia. Tambi\u00e9n excluye a los consulados de la CEI y a las empresas vinculadas a la CEI, y levanta una restricci\u00f3n anterior impuesta a Arabia Saudita. Adem\u00e1s de fomentar expl\u00edcitamente los ataques contra infraestructura cr\u00edtica, instruye a los afiliados a solicitar un cifrador separado para los sistemas SCADA, corroborando su desarrollo en un casillero SCADA especializado.<\/p>\n<p>Sin embargo, la pol\u00edtica proh\u00edbe a los afiliados atacar empresas de atenci\u00f3n m\u00e9dica relacionadas con ni\u00f1os y filtrar intencionalmente datos personales de personas menores de 18 a\u00f1os.<\/p>\n<p>La \u00faltima versi\u00f3n del portal permite a los afiliados crear un casillero para Windows, ESXi o Linux. Un an\u00e1lisis de la versi\u00f3n de Windows ha identificado funciones relacionadas con la verificaci\u00f3n de privilegios para determinar si se est\u00e1 ejecutando como administrador, deterioro del control de seguridad, terminaci\u00f3n de procesos y servicios, inhibici\u00f3n de recuperaci\u00f3n, borrado de registros de eventos, descubrimiento de recursos compartidos locales y de red, movimiento lateral, cifrado multiproceso, creaci\u00f3n de notas de rescate y autoeliminaci\u00f3n opcional.<\/p>\n<p>El casillero cifra archivos con ChaCha20-Poly1305. Los archivos de hasta 3 MiB inclusive se cifran completamente, mientras que los que superan el umbral se cifran parcialmente procesando un fragmento de 1 MiB cada 51 MiB.<\/p>\n<p>\u00abLas organizaciones deber\u00edan prohibir el inicio de sesi\u00f3n interactivo de VPN a las cuentas de servicio y de respaldo a menos que exista un requisito operativo documentado\u00bb, dijo PRODAFT. \u00abEl acceso remoto y la administraci\u00f3n privilegiada deben utilizar MFA resistente al phishing. Los equipos deben rotar las credenciales expuestas a dispositivos VPN, integraciones LDAP, scripts y herramientas de respaldo, dando prioridad a los secretos que pueden otorgar acceso administrativo local o de dominio\u00bb.<\/p>\n<h3>Huntress enfrenta acusaciones de amenazas internas<\/h3>\n<p>La revelaci\u00f3n tambi\u00e9n llega en un momento en que Ben Folland, un ex empleado de la firma de seguridad Huntress, <a href=\"https:\/\/www.linkedin.com\/posts\/ben-f-309963233_after-i-posted-a-pinocchio-gif-and-clown-ugcPost-7475465410977628160-FFW1\/\" target=\"_blank\">acusado<\/a> otro analista del paso de comunicaciones de las fuerzas del orden estadounidenses a DevMan. El <a href=\"https:\/\/www.reddit.com\/r\/cybersecurity\/comments\/1uehcps\/comment\/otk6l40\/\" target=\"_blank\">incidente<\/a> Se dice que tuvo lugar en diciembre de 2025.<\/p>\n<p>En una publicaci\u00f3n de blog posterior, el director ejecutivo de Huntress, Kyle Hanslovan, dijo que la compa\u00f1\u00eda est\u00e1 al tanto de \u00abcomunicaciones cuestionables y de largo plazo de actores de amenazas\u00bb entre un investigador de amenazas que todav\u00eda trabaja en la empresa de seguridad y un cibercriminal, y lo calific\u00f3 de \u00abfalta de juicio\u00bb.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thn.news\/sygnia-webinar\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEh3-o9La7DYm6jz5qcavVBLvRXUoQLqwrMmrvB529PbUxdg7TJZS3BMjVi4D7vd6V9vlSf_OX48mmXQWPgah_SPITaGgg4AP9YxB2AH-63YeWU39N3DXadwc_2zjIpTwCt0iyTdPZIM-KzKhDf_JDPWDGu3IbYfi1ilQE8Ly29HiKYagSIur-il4k7MMNv8\/s728-e100\/sygnia-d-3.png\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>\u00abEn un intercambio particular, nuestro actual compa\u00f1ero de equipo le revel\u00f3 a un actor de amenazas que las autoridades se hab\u00edan comunicado con ellos sobre el actor de amenazas\u00bb, Hanslovan <a href=\"https:\/\/www.huntress.com\/blog\/insider-threat-claims\" target=\"_blank\">dicho<\/a>. \u00abSi bien esta divulgaci\u00f3n no fue ilegal, reflej\u00f3 un mal criterio\u00bb.<\/p>\n<p>\u00abComo resultado de la investigaci\u00f3n, mi equipo implement\u00f3 pol\u00edticas m\u00e1s s\u00f3lidas para nuestros investigadores, capacit\u00f3 a sus compa\u00f1eros de equipo sobre c\u00f3mo interactuar con los actores de amenazas y tom\u00f3 las medidas administrativas apropiadas. Si bien no hemos encontrado evidencia de conducta ilegal, actividad interna o divulgaciones adicionales, continuamos nuestra investigaci\u00f3n\u00bb.<\/p>\n<p>Holland, sin embargo, no est\u00e1 de acuerdo con la evaluaci\u00f3n y afirma que las acciones del empleado \u00abcumplen la definici\u00f3n de amenaza interna\u00bb. El ex empleado de Huntress tambi\u00e9n cuestion\u00f3 a Huntress si al analista se le permit\u00eda interactuar con DevMan para \u00abapoyar investigaciones activas\u00bb.<\/p>\n<p>Seg\u00fan Folland, se dice que la Oficina Federal de Investigaciones (FBI) de EE. UU. se puso en contacto con el empleado de Huntress para recopilar informaci\u00f3n sobre DevMan. \u00abElla inmediatamente envi\u00f3 las comunicaciones exactas del FBI al actor de la amenaza, incluidas capturas de pantalla que conten\u00edan los nombres de los agentes del FBI\u00bb, Folland <a href=\"https:\/\/www.linkedin.com\/posts\/ben-f-309963233_huntress-and-kyle-hanslovan-have-now-released-activity-7477627161177296897-2UIr\/\" target=\"_blank\">dicho<\/a>. \u00abElla inform\u00f3 a DevMan que las autoridades lo estaban investigando activamente. Tambi\u00e9n se neg\u00f3 a cooperar porque quer\u00edan a DevMan\u00bb.<\/p>\n<p>\u00abEsto no fue s\u00f3lo un &#8216;mal juicio&#8217;\u00bb, continu\u00f3 Folland. \u00abSe trataba de un empleado de Huntress que tom\u00f3 conocimiento sensible sobre un enfoque de aplicaci\u00f3n de la ley y se lo pas\u00f3 directamente a la persona que estaba siendo investigada. Si alguien dentro de un banco advierte a un estafador que la polic\u00eda lo est\u00e1 investigando, nadie lo describir\u00eda simplemente como &#8216;falta de juicio&#8217;. Lo llamar\u00edan como es: un insider\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Los operadores del esquema de ransomware como servicio (RaaS) de DevMan mantienen una plataforma web dedicada que ofrece a los afiliados la capacidad de crear cargas \u00fatiles, supervisar las ganancias y gestionar diversos aspectos relacionados con las v\u00edctimas. La empresa suiza de ciberseguridad PRODAFT est\u00e1 siguiendo la operaci\u00f3n RaaS administrada centralmente bajo el nombre Mantis [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":1379,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[1803,2663,4054,4055,24,4053,499,52,784,2481,1056,4056,1986],"class_list":["post-1763","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-afiliados","tag-carga","tag-centraliza","tag-creacion","tag-cyberdefensa-mx","tag-devman","tag-gestion","tag-los","tag-pagos","tag-portal","tag-raas","tag-util","tag-victimas"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1763","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1763"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1763\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/1379"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1763"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1763"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1763"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}