Вымогатель-болтун. Как Devman прошел путь от новичка до преступника в розыске Интерпола

Он наб­людал за авто­ром сооб­щения с апре­ля и собирал образцы мал­вари, отсле­живал жертв, докумен­тировал каж­дый шаг. Опе­ратор активной ransomware-груп­пиров­ки под псев­донимом Devman прек­расно понимал, что человек на том кон­це перепис­ки изу­чает его и пишет о нем отче­ты. И все рав­но вышел на кон­такт.

Даль­ше было еще необыч­нее. На про­тяже­нии нес­коль­ких месяцев они перепи­сыва­лись, раз­говари­вали голосом. Опе­ратор рас­ска­зывал об ата­ках в реаль­ном вре­мени, объ­яснял свои решения. За нес­коль­ко дней до пуб­лично­го запус­ка собс­твен­ной плат­формы он прис­лал Ди Мад­жо ссыл­ку и спро­сил, что тот о ней дума­ет. Так «карь­ера» Devman пос­тепен­но ста­ла одной из самых задоку­мен­тирован­ных в исто­рии ransomware-рас­сле­дова­ний. В наше вре­мя ред­ко быва­ет, что хакер сам хочет, что­бы о нем зна­ли!

За десять месяцев, с апре­ля 2025-го по фев­раль 2026-го, Devman ата­ковал 187 орга­низа­ций в двад­цати с лиш­ним стра­нах. Выкупы он тре­бовал в диапа­зоне от 60 тысяч до 91 мил­лиона дол­ларов. И про­шел путь от наем­ника до вла­дель­ца собс­твен­ной прес­тупной плат­формы.

Ран­сомварью ред­ко занима­ются оди­ноч­ки. Сей­час это индус­трия с раз­делени­ем тру­да, и работа­ет она по модели RaaS — ransomware-as-a-service. Раз­работ­чик пишет мал­варь и сда­ет ее в арен­ду. Аффи­лиаты‑арен­даторы находят жер­тву, взла­мыва­ют сеть, шиф­руют дан­ные, ведут перего­воры. Добычу делят обыч­но так: 80% забира­ет аффи­лиат, 20% — раз­работ­чик, но с мно­гих аффи­лиатов сра­зу. Похоже на фран­шизу, ког­да центр дает инс­тру­мент и инфраструк­туру, а исполни­тели дела­ют гряз­ную работу.

Аф­фили­ат не пишет код и не под­нима­ет коман­дную инфраструк­туру. Все уже готово, его дело — вой­ти в периметр и запус­тить шиф­рование. Одна­ко боль­шинс­тво опе­рато­ров так и оста­ются на этой сту­пени годами. Соз­дать собс­твен­ную плат­форму и написать мал­варь, выс­тро­ить инфраструк­туру, завер­бовать новых аффи­лиатов под свой бренд — это уже сов­сем дру­гой уро­вень. Devman про­шел его мень­ше чем за пол­года и опи­сывал каж­дый шаг челове­ку, который вел о нем досье.

Все началось в фев­рале 2022 года, ког­да в откры­тый дос­туп утек исходный код Conti — одной из самых про­думан­ных ransomware-опе­раций сво­его вре­мени (если чита­ешь новос­ти на «Хакере», навер­няка о ней слы­шал). Ког­да код разошел­ся по рукам, это перек­роило весь рынок: Black Basta взял его за осно­ву в 2022 году, DragonForce — в 2023-м. Утек­шие чат‑логи Black Basta поз­же зафик­сирова­ли пря­мые свя­зи его лидера с адми­нис­тра­тором LockBit.