สรุปสั้น
ผู้ดำเนินการแรนซัมแวร์แบบให้บริการ (Ransomware-as-a-Service หรือ RaaS) ในชื่อ DevMan กำลังดูแลแพลตฟอร์มเว็บเฉพาะทางที่เปิดให้พันธมิตร (affiliate) สร้างเพย์โหลด ตรวจสอบรายได้ และจัดการเหยื่อได้ครบวงจรในที่เดียว โดยบริษัท PRODAFT ผู้เชี่ยวชาญด้านความปลอดภัยจากสวิตเซอร์แลนด์ ติดตามปฏิบัติการ RaaS ที่บริหารจากศูนย์กลางนี้ภายใต้ชื่อ Funky Mantis พอร์ทัลดังกล่าวรวมฟังก์ชันการสร้างบิลด์ การเงิน แชตกับเหยื่อ ระบบสนับสนุน บันทึกข้อมูลเหยื่อ การจัดทีม และการจ่ายส่วนแบ่งไว้ด้วยกัน อีกทั้งยังผสานบริการนายหน้าขายช่องทางเข้าถึง (access brokerage) เข้ากับการปล่อยแรนซัมแวร์ ผู้ดูแลระบบเสนอ “เครือข่าย” แยกตามประเทศ สอบถามว่าพันธมิตรจะใช้ช่องทางเข้าของตัวเองหรือของโปรแกรม และกำหนดกรอบเวลาให้ทำงานเสร็จภายในสองถึงสามวัน จากสถิติบน Ransomware.Live กลุ่มนี้อ้างว่ามีเหยื่อแล้ว 184 รายจนถึงปัจจุบัน โดยเกือบ 50 รายอยู่ในสหรัฐฯ และไม่มีเหยื่อรายใหม่หลังวันที่ 4 กุมภาพันธ์ 2569
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 25 กรกฎาคม พ.ศ. 2569 ว่า บริษัท PRODAFT ได้เผยแพร่รายงานฉบับละเอียดเกี่ยวกับปฏิบัติการ RaaS ของ DevMan โดยระบุว่า “พอร์ทัลนี้รวมการสร้างบิลด์ การเงิน แชตกับเหยื่อ ระบบสนับสนุน บันทึกข้อมูลเหยื่อ การจัดทีม และฟังก์ชันจ่ายส่วนแบ่งไว้ด้วยกัน” พร้อมชี้ว่าบริการนี้ผสานการเป็นนายหน้าขายหรือกระจายช่องทางเข้าถึงเข้ากับการปล่อยแรนซัมแวร์อย่างแนบเนียน
จากการวิเคราะห์หลายแหล่งพบว่า DevMan ปรากฏตัวครั้งแรกในเดือนเมษายน 2568 ในฐานะพันธมิตรของกลุ่ม Qilin, DragonForce, Apos และ RansomHub ก่อนจะแยกออกมาตั้งปฏิบัติการ RaaS ของตัวเอง โดยบริษัท Vectra AI เคยระบุไว้เมื่อเดือนตุลาคม 2568 ว่าตัวล็อกเกอร์ของ DevMan มี “ดีเอ็นเอของ DragonForce อย่างไม่ต้องสงสัย” ซึ่งสะท้อนถึงสายพันธุ์ที่ใช้ร่วมกัน นอกจากนี้ในบทสัมภาษณ์กับนักวิจัย นาย Jon DiMaggio ที่เผยแพร่เมื่อตุลาคม 2568 DevMan ยอมรับว่าเคยทำงานร่วมกับกลุ่ม Conti และอ้างว่าได้พัฒนา “ล็อกเกอร์ SCADA เฉพาะทาง” เพื่อโจมตีบริษัทก๊าซแห่งหนึ่ง โดยออกแบบให้สร้างความเสียหายทางกายภาพแบบค่อยเป็นค่อยไปเกินกว่าการเข้ารหัสไฟล์ กล่าวคือมัลแวร์จะ “ผลักดันระบบควบคุมอุตสาหกรรมให้ทำงานเกินขีดจำกัดของพารามิเตอร์ หน่วยประมวลผล หน่วยความจำ และอุณหภูมิ บังคับให้ระบบเร่งกำลังและทำงานจนร้อนกระทั่งฮาร์ดแวร์พังเสียหาย”
ปฏิบัติการของ DevMan เคยได้รับผลกระทบในเดือนมิถุนายน 2568 หลังผู้เปิดโปงลึกลับที่เรียกตัวเองว่า GangExposed เผยแพร่ตัวตนของผู้ดำเนินการต่อสาธารณะ (doxxing) จนพันธมิตรบางส่วนถอนตัว โดย DevMan ยังกล่าวหาว่า GangExposed พยายามข่มขู่กรรโชกเรียกเงิน 0.3 ถึง 1 บิตคอยน์ระหว่างการติดต่อทาง Telegram
รายละเอียดการโจมตี
พอร์ทัลพันธมิตรของ DevMan เดิมทีมีเพียงส่วนสร้างบิลด์ การเงิน แชตกับเหยื่อ และระบบช่วยเหลือ แต่ได้รับการอัปเกรดครั้งใหญ่ในเวอร์ชันที่สาม (v3) ที่ปล่อยเมื่อมกราคม 2569 ซึ่งเพิ่มการรองรับบันทึกข้อมูลเหยื่อแบบมีโครงสร้าง สถานะวงจรชีวิตของเหยื่อ การสร้างทีม การควบคุมคำเชิญ ตัวเลือกบิลด์รายเหยื่อ การติดตามกำหนดเวลา ช่องข้อมูลรายได้ และการเข้าถึงปฏิบัติการร่วมกัน สะท้อนความพยายามจัดระเบียบขั้นตอนการทำงานของพันธมิตรและบริหารการเจาะระบบหลายเป้าหมายผ่านแพลตฟอร์มกลางเดียว
บริษัท PRODAFT ระบุบทบาทที่แตกต่างกัน 5 ตำแหน่งในปฏิบัติการ ได้แก่ LARVA-367 เป็นผู้ดูแล/เจ้าของและผู้ประสานงานกลาง, LARVA-546 เป็นผู้ประสานงานด้านช่องทางเข้าถึง, LARVA-547 และ LARVA-548 เป็นผู้ปฏิบัติการอาวุโสหรือผู้ประสานงาน และ LARVA-550 เป็นพันธมิตร/ผู้ปฏิบัติการ โดยพันธมิตรจะถูกเพิ่มเข้าแชตองค์กรหลังจากสร้างเหยื่อรายแรกได้ และถูกจับคู่กับพี่เลี้ยง (curator) ที่มีประสบการณ์ พันธมิตรที่ไม่มีเหยื่อรายใหม่ภายในหนึ่งเดือนอาจถูกถอดออก ส่วนแบ่งรายได้จากการกรรโชกใช้อัตรา 80-20% โดยเงินค่าไถ่จะถูกส่งไปยังกระเป๋าสองใบ ใบหนึ่งของพันธมิตรและอีกใบเชื่อมกับโปรแกรม RaaS
นโยบายการเลือกเป้าหมายของ DevMan อนุญาตให้พันธมิตรโจมตีองค์กรนอกกลุ่มประเทศ CIS และเซอร์เบีย แต่ยกเว้นสถานกงสุลและบริษัทที่เชื่อมโยงกับ CIS และล่าสุดได้ยกเลิกข้อจำกัดที่เคยห้ามโจมตีซาอุดีอาระเบีย ที่น่ากังวลคือนอกจากจะสนับสนุนการโจมตีโครงสร้างพื้นฐานสำคัญอย่างชัดเจนแล้ว ยังสั่งให้พันธมิตรร้องขอตัวเข้ารหัสแยกต่างหากสำหรับระบบ SCADA ซึ่งสอดคล้องกับคำอ้างเรื่องการพัฒนาล็อกเกอร์ SCADA เฉพาะทาง อย่างไรก็ตามนโยบายห้ามพันธมิตรโจมตีธุรกิจสุขภาพที่เกี่ยวกับเด็ก และห้ามจงใจปล่อยข้อมูลส่วนบุคคลของผู้ที่มีอายุต่ำกว่า 18 ปี ล็อกเกอร์เวอร์ชันล่าสุดสร้างได้สำหรับ Windows, ESXi หรือ Linux โดยเวอร์ชัน Windows มีฟังก์ชันตรวจสอบสิทธิ์แอดมิน ปิดการทำงานของระบบป้องกัน หยุดโปรเซสและบริการ ขัดขวางการกู้คืน ล้างล็อกเหตุการณ์ ค้นหาแชร์เครือข่าย เคลื่อนย้ายด้านข้าง และเข้ารหัสแบบหลายเธรด ตัวล็อกเกอร์เข้ารหัสไฟล์ด้วย ChaCha20-Poly1305 โดยไฟล์ขนาดไม่เกิน 3 MiB จะถูกเข้ารหัสทั้งไฟล์ ส่วนไฟล์ที่ใหญ่กว่าจะเข้ารหัสบางส่วนโดยประมวลผลก้อนละ 1 MiB ทุกๆ ระยะ 51 MiB
นอกจากนี้การเปิดเผยยังเกิดขึ้นในช่วงที่บริษัทความปลอดภัย Huntress เผชิญข้อกล่าวหาเรื่องภัยจากคนใน (insider threat) เมื่อนาย Ben Folland อดีตพนักงาน กล่าวหาว่านักวิเคราะห์อีกคนส่งต่อการติดต่อจากหน่วยงานบังคับใช้กฎหมายสหรัฐฯ ให้แก่ DevMan ในเดือนธันวาคม 2568 โดยนาย Kyle Hanslovan ซีอีโอของ Huntress ยอมรับว่ามี “การสื่อสารระยะยาวที่น่าตั้งคำถามกับผู้ก่อภัยคุกคาม” และในกรณีหนึ่งพนักงานได้เปิดเผยต่อผู้ก่อภัยคุกคามว่าหน่วยงานบังคับใช้กฎหมายได้ติดต่อสอบถามเกี่ยวกับตัวเขา ซึ่งบริษัทเรียกว่าเป็น “การใช้ดุลยพินิจที่ไม่ดี” แม้จะไม่ผิดกฎหมายก็ตาม ขณะที่นาย Folland โต้แย้งว่าการกระทำดังกล่าวเข้าข่ายนิยามของภัยจากคนในอย่างชัดเจน
ผลกระทบต่อไทย
การที่ DevMan พัฒนาแพลตฟอร์ม RaaS ให้ใช้งานง่ายและครบวงจร ช่วยลดกำแพงทางเทคนิคให้พันธมิตรที่มีทักษะไม่มากก็สามารถลงมือโจมตีได้ ซึ่งหมายถึงจำนวนผู้โจมตีที่พร้อมลงมือมากขึ้นและกระจายไปยังเป้าหมายทั่วโลกรวมถึงไทย นโยบายที่เปิดกว้างให้โจมตีองค์กรนอกกลุ่ม CIS โดยไม่มีข้อห้ามชัดเจนสำหรับภูมิภาคเอเชียตะวันออกเฉียงใต้ ทำให้องค์กรไทยอยู่ในขอบเขตเป้าหมายเต็มตัว ที่น่ากังวลเป็นพิเศษคือการที่กลุ่มนี้สนับสนุนการโจมตีโครงสร้างพื้นฐานสำคัญและมีล็อกเกอร์เฉพาะสำหรับระบบ SCADA ซึ่งอาจส่งผลกระทบต่อโรงงาน ระบบสาธารณูปโภค พลังงาน และภาคการผลิตของไทยที่ใช้ระบบควบคุมอุตสาหกรรม การเชื่อมโยงกับสายพันธุ์ DragonForce ยังบ่งชี้ว่าตัวล็อกเกอร์มีความสามารถระดับสูงและผ่านการพัฒนามาอย่างต่อเนื่อง
คำแนะนำ
บริษัท PRODAFT แนะนำว่าองค์กรควรห้ามบัญชีบริการ (service account) และบัญชีสำรองข้อมูล (backup account) ล็อกอินผ่าน VPN แบบโต้ตอบ เว้นแต่มีความจำเป็นเชิงปฏิบัติการที่ระบุไว้ชัดเจน การเข้าถึงจากระยะไกลและการดูแลระบบด้วยสิทธิ์สูงควรใช้การยืนยันตัวตนหลายปัจจัยแบบต้านฟิชชิง (phishing-resistant MFA) นอกจากนี้ทีมงานควรหมุนเปลี่ยนรหัสผ่านที่เคยถูกเปิดเผยต่ออุปกรณ์ VPN การเชื่อมต่อ LDAP สคริปต์ และเครื่องมือสำรองข้อมูล โดยให้ความสำคัญกับความลับที่สามารถให้สิทธิ์ระดับแอดมินภายในเครื่องหรือระดับโดเมนก่อน สำหรับองค์กรที่มีระบบ SCADA/OT ควรแยกเครือข่าย OT ออกจาก IT อย่างเข้มงวด และเฝ้าระวังพฤติกรรมการหยุดบริการ ล้างล็อก และขัดขวางการกู้คืน ซึ่งเป็นสัญญาณของการเตรียมปล่อยแรนซัมแวร์