PRODAFT zufolge integriert das DevMan-Portal nicht nur den Bau der Schadsoftware, sondern auch die Verteilung oder Vermittlung von Zugängen mit dem eigentlichen Ransomware-Einsatz. Administratoren boten demnach länderspezifische „Netzwerke“ an, fragten ab, ob ein Affiliate eigenen Zugang oder vom Programm bereitgestellten Zugang nutzen werde, und setzten Fristen von zwei bis drei Tagen für die Durchführung.
Mehrere Analysen verorten den ersten Auftritt von DevMan im April 2025, zunächst als Affiliate für Qilin, DragonForce, Apos und RansomHub. Danach wechselte die Gruppe zu einem eigenen RaaS-Modell. Vectra AI schrieb im Oktober 2025, die genetische Herkunft des Lockers sei „unverkennbar DragonForce“ und verwies auf die gemeinsame Abstammung der Ransomware.
In einem im Oktober 2025 veröffentlichten Interview mit dem Sicherheitsforscher Jon DiMaggio erklärte DevMan, mit Conti gearbeitet zu haben. Die Gruppe behauptete zudem, einen „spezialisierten SCADA-Locker“ für ein ungenanntes Gasunternehmen entwickelt zu haben, der über reine Verschlüsselung hinaus fortschreitende physische Schäden verursachen sollte. Nach Darstellung des Akteurs sollte die Malware industrielle Steuerungssysteme über ihre Betriebsparameter sowie Prozessor-, Speicher- und Temperaturgrenzen hinaus treiben, sodass Systeme hochfahren, heiß laufen und Hardware schließlich ausfällt.
Die Israel National Cyber Directorate (INCD) beschrieb DevMan in einem Bulletin aus dem vergangenen Jahr als Akteur mit auffälliger Online-Präsenz, der Entwicklungen, Updates und allgemeine Stellungnahmen überwiegend auf Englisch und teils auch auf Russisch veröffentliche. Laut INCD prahlt die Gruppe häufig mit ihren Erfolgen und veröffentlicht bisweilen Berichte darüber, wie sie Zugang erlangt und Angriffe durchgeführt habe.
Einen Rückschlag erlitt die Operation im Juni 2025, als ein anonymer Hinweisgeber unter dem Namen GangExposed öffentlich die Identitäten von Betreibern offenlegte. Das habe einige Affiliates zum Ausstieg bewegt. DevMan behauptete außerdem, GangExposed habe in Telegram-Gesprächen versucht, die Gruppe mit Forderungen zwischen 0,3 und 1 Bitcoin zu erpressen.
Nach Statistiken von Ransomware.Live hat die Gruppe bislang 184 Opfer für sich reklamiert. Neue Opfer wurden nach dem 4. Februar 2026 nicht mehr gemeldet. Fast 50 der Opfer befinden sich demnach in den USA; besonders häufig betroffen waren Technologie, Gesundheitswesen, Finanzdienstleistungen, professionelle Dienstleistungen und Behörden.
PRODAFT identifizierte fünf unterschiedliche Rollen innerhalb der DevMan-Operation. Affiliates wurden demnach erst nach dem ersten Opfer in einen internen Chat aufgenommen und erhielten einen erfahrenen Betreuer. Ohne neues Opfer innerhalb eines Monats konnten sie wieder entfernt werden. Teambildung und die Offenlegung der Zugehörigkeit zum Programm bedurften der Zustimmung dieses Betreuers, was unabhängige Koordination und öffentliche Verbindung zum Dienst begrenzte. Die Kernadministration kann zudem Gespräche übernehmen, wenn sich ein Affiliate unangemessen verhält oder Zusagen nicht einhält.
Die Erlöse aus erfolgreicher Erpressung werden laut den Regeln im Verhältnis 80 zu 20 Prozent aufgeteilt. In Version 3 des Portals werden die Lösegeldzahlungen an zwei Wallets gesendet: eines für den Affiliate und eines für das RaaS-Programm. Die von DevMan formulierte Zielpolitik erlaubt Angriffe außerhalb der GUS-Staaten und Serbiens, schließt GUS-Konsulate sowie GUS-nahe Unternehmen aus und hebt eine frühere Beschränkung für Saudi-Arabien auf. Zugleich werden Angriffe auf kritische Infrastruktur ausdrücklich gefördert; für SCADA-Systeme sollen Affiliates einen separaten Verschlüsseler anfordern, was laut PRODAFT die Entwicklung eines spezialisierten SCADA-Lockers stützt. Untersagt sind laut Richtlinie Angriffe auf kinderbezogene Gesundheitsunternehmen sowie absichtliche Leaks personenbezogener Daten von Minderjährigen unter 18 Jahren.
Die aktuelle Portalversion kann einen Locker für Windows, ESXi oder Linux erzeugen. Eine Analyse der Windows-Variante zeigte Funktionen zur Rechteprüfung auf Administratorstatus, zur Beeinträchtigung von Sicherheitskontrollen, zum Beenden von Prozessen und Diensten, zur Verhinderung von Wiederherstellung, zum Löschen von Ereignisprotokollen, zur Erkundung lokaler und freigegebener Netzlaufwerke, zur lateralen Bewegung, zur mehrfädigen Verschlüsselung, zum Erstellen von Lösegeldnotizen und optional zur Selbstlöschung. Verschlüsselt wird mit ChaCha20-Poly1305. Dateien bis einschließlich 3 MiB werden vollständig verschlüsselt; größere Dateien nur teilweise, indem pro 51 MiB ein 1-MiB-Block verarbeitet wird.
Zeitgleich sorgten Vorwürfe gegen Huntress für weitere Aufmerksamkeit rund um DevMan. Ben Folland, ein früherer Mitarbeiter des Sicherheitsunternehmens, beschuldigte einen anderen Analysten, Mitteilungen der US-Strafverfolgung an DevMan weitergegeben zu haben. Der Vorfall soll sich im Dezember 2025 ereignet haben. Huntress-CEO Kyle Hanslovan erklärte in einem Blogeintrag, das Unternehmen wisse von „fragwürdiger, langfristiger Kommunikation mit einem Bedrohungsakteur“ zwischen einem weiterhin beschäftigten Threat Researcher und einem Cyberkriminellen und bezeichnete dies als „schlechtes Urteilsvermögen“.
Hanslovan schrieb, in einem konkreten Austausch habe der Mitarbeiter dem Bedrohungsakteur offengelegt, dass Strafverfolger ihn wegen dieses Akteurs kontaktiert hätten. Das sei zwar nicht illegal gewesen, habe aber schlechtes Urteilsvermögen gezeigt. Als Folge habe Huntress strengere Richtlinien für Forscher eingeführt, Mitarbeiter zum Umgang mit Bedrohungsakteuren geschult und angemessene administrative Maßnahmen ergriffen; Belege für illegales Verhalten, Insider-Aktivitäten oder weitere Offenlegungen habe man bislang nicht gefunden, die Untersuchung laufe aber weiter.
Folland widersprach dieser Einordnung und erklärte, das Verhalten erfülle die Definition einer Insider-Bedrohung. Nach seiner Darstellung hatte das Federal Bureau of Investigation einen Huntress-Mitarbeiter kontaktiert, um Informationen über DevMan zu sammeln. Diese Person habe die exakten FBI-Mitteilungen sofort an den Bedrohungsakteur weitergeleitet, einschließlich Bildschirmfotos mit den Namen von FBI-Agenten. Außerdem habe sie DevMan darüber informiert, dass Strafverfolger aktiv gegen ihn ermittelten, und die Zusammenarbeit verweigert, weil diese DevMan gewollt hätten.