對於許多剛接觸資安的工程師來說，勒索軟體可能看起來只是「寫個加密程式，然後要求贖金」。但現代的勒索軟體早已演變成一種高度組織化的商業模式，稱為 RaaS（Ransomware-as-a-Service，勒索軟體即服務）。最近被披露的 DevMan 集團案例，完整展示了犯罪組織如何將攻擊流程「平台化」與「工業化」。
什麼是 RaaS？
RaaS 是一種分工合作的模式。開發者（Operator）負責開發勒索軟體的核心程式碼並維護管理後台，而加盟者（Affiliate）則負責尋找目標、入侵企業網路並執行加密。兩者在獲利後按比例分帳（例如 DevMan 採取 80% 給加盟者、20% 給開發者的分潤）。這種模式降低了犯罪門檻，讓不精通開發但擅長入侵的駭客能快速獲利。
DevMan 的管理平台：將犯罪變成 SaaS
DevMan 最令人關注的是他們開發了一套高度集成的管理後台（Portal），將原本分散在聊天軟體（如 Telegram）的協作轉化為標準化的工作流。
這套平台在 v3 版本中實現了以下功能：
Payload 生成器：加盟者可以直接在後台根據目標環境（Windows, ESXi 或 Linux）定制加密程式（Payload）。 受害者生命週期管理：平台記錄受害者的狀態、進度、對話紀錄與截止日期，讓管理員能像追蹤訂單一樣追蹤每一起攻擊。 財務與分潤系統：自動化計算贖金分潤，並將資金分發至不同的加密貨幣錢包。 權限與團隊管理：內部定義了明確的角色分級（如管理員、存取協調員、資深操作員），並設有審核機制，只有表現優異的加盟者才能進入核心群組。
這種做法將攻擊流程標準化，大幅提升了組織的作戰效率，並讓管理員能強力掌控加盟者的行為，確保獲利最大化。
針對工業控制系統（SCADA）的毀滅性攻擊
DevMan 的危險之處在於他們不滿足於單純的資料加密。他們聲稱開發了一種專門針對 SCADA（Supervisory Control and Data Acquisition，監控控制與資料擷取系統，常用於電廠、水廠、瓦斯管線等基礎設施）的特殊加密程式。
傳統勒索軟體是讓資料無法讀取，而 DevMan 的 SCADA 鎖定器旨在造成實體損毀。他們透過操控工業控制系統，將處理器、記憶體與散熱限制推至極限，強制系統過熱直到硬體毀損。這將網路攻擊從「資訊損失」提升到了「物理破壞」的層級。
技術特徵與防禦建議
從技術分析來看，DevMan 的 Windows 版本勒索軟體具備以下典型行為： 權限檢查：確認是否以管理員權限執行。 防禦削弱：停止安全相關服務、清除事件日誌（Event Log）以掩蓋蹤跡。 橫向移動：在內網搜尋共享資料夾，嘗試擴散到更多機器。 高效加密：使用 ChaCha20-Poly1305 演算法，對大檔案採取部分加密（每 51 MiB 加密 1 MiB）以加快速度。
針對此類威脅，工程師應採取以下防禦措施： 嚴格限制 VPN 登入：除非有明確業務需求，否則禁止服務帳號或備份帳號使用互動式 VPN 登入。 強化身分驗證：遠端存取與特權管理必須強制使用抗釣魚（Phishing-resistant）的多因素驗證（MFA）。 定期輪換金鑰：針對 VPN 設備、LDAP 整合與備份工具中的憑證進行定期輪換，優先處理具有網域管理權限的秘密資訊。
內部威脅的警示
此案例中還提到了一個極其嚴重的內部威脅（Insider Threat）爭議。一名資安公司的研究員被指控將 FBI 的調查進度與聯邦探員姓名直接截圖發給 DevMan 的成員。這提醒我們，即便在資安公司內部，與威脅參與者的互動也必須有嚴格的規範與監管，否則研究行為可能演變成對犯罪者的「通風報信」。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。