Rehub und die Shops für gestohlene Daten: wie der Markt für Logs seine Takedowns überlebt
Am 10. August 2025 nahm eine russischsprachige Plattform namens Rehub den Betrieb auf, gegründet von einem ehemaligen Moderator von XSS - bis wenige Wochen zuvor eines der zentralen Foren der Unterwelt, bis die Strafverfolgung es abschaltete. Wie Flashpoint-Forscher berichten, umarmte Rehub genau das, worauf sein Rivale DamageLib, gestartet von anderen XSS-Moderatoren am 1. August, bewusst verzichtete: illegalen Handel. Die Supermarket-Sektion bewirbt Ransomware-Affiliate-Programme, kompromittierte Netzwerkzugänge, Malware, gestohlene Finanzdaten und geleakte Datenbanken, und die Seite läuft sowohl im Clearnet als auch über Tor. Rehub ist das neueste Gesicht eines älteren Handels - des Markts für gestohlene Logins, Cookies, Fingerabdrücke und Zugänge -, der jahrelang öffentlich abgeschaltet und wieder zusammengesetzt wurde.
Was ein Eintrag im Inventar wirklich ist
Die Kernware ist das Stealer-Log: die automatisierte Beute aus einem einzigen infizierten Rechner. Die Forscher von Kaspersky, die die Darknet-Ecken überwachen, in denen diese Dateien verkauft werden, definieren sie als automatisierte Sammlungen von Daten, die Stealer-Malware entwendet hat. Wie das Threat-Research-Team von Sekoia katalogisiert, bündelt ein typisches Log Systemdetails und Browserdaten - gespeicherte URLs und Zugangsdaten, Cookies, Autofill-Einträge, gespeicherte Kartendaten - sowie Material aus Desktop-Anwendungen wie Mail-Clients, Messengern, Krypto-Wallets und VPN-Tools. Sekoia bezifferte die Preise für qualifizierte, exklusive Ware auf 5 bis 100 Dollar, je nach Datenvolumen, Land des Opfers und Qualität; die Shops erlauben Käufern, nach Domains zu filtern - auf der Suche nach VPN-Portalen von Unternehmen, Admin-Konten und Security-Tools. Die Premiumstufe ist nicht das Passwort, sondern die Sitzung. Cookies und Browser-Fingerprintdaten erlauben einem Käufer, eine authentifizierte Anmeldung fortzusetzen und dabei wie der eigene Browser des Opfers zu erscheinen. Diese Verpackung war das Kernprodukt von Genesis Market: Jede Identität wurde als Bot verkauft, komplett mit einem eigenen Browser zur Wiedergabe. Passwörter lassen sich zurücksetzen; Sitzungen und Fingerabdrücke wandern mit. April 2023: der Wendepunkt, der den Markt bewegte
Am 5. April 2023 nahm eine Operation in 17 Ländern Genesis Market vom Netz, mit 119 Festnahmen, 208 Hausdurchsuchungen und 97 Knock-and-Talk-Gesprächen mit Nutzern, wie Europol mitteilte; der Marktplatz hatte bei der Schließung die Identitäten von über zwei Millionen Menschen gelistet. Die Aktion entfernte das am stärksten polierte Schaufenster dieses Handels. Nicht die Ware. Die Forscher von Sekoia, wenige Wochen nach der Beschlagnahme, beschrieben den laufenden Handel auf zentralisierten Shops wie Russian Market und 2easy und vermuteten, der Takedown werde dezentrale Verkäufe beschleunigen - Abo-Communities und Telegram-Bots. Clouds, Bots und Wiederverkäufer: die Syndikationsebene
Diese Ebene war längst dokumentiert. Sekoia beschrieb 'Clouds of Logs', private Communities, die Abo-Zugang zu Massenbeständen für 200 bis 900 Dollar pro Monat verkauften; ein mutmaßlicher Betreiber, BSC, bot 10.000 frische Logs am Tag für 2.299 Dollar im Monat an, mit mehr als 300.000 Logs auf Lager im Dezember 2022, ein Viertel davon von europäischen Opfern. Telegram-Bots dienten als Abruf-Schaufenster: Eine Suche nach einer einzigen Fluggesellschaft lieferte in einem Bot 500 passende Logs. Zwischen den Malware-Betreibern und den Shops sitzen Verarbeitungstools wie BLTools und Crystal, die Einträge normalisieren, deduplizieren und prüfen, teils mit Kontostand-Check vor dem Verkauf. Forscher markierten den strukturellen Fehler der Ebene: Käufer verkaufen weiter, sodass Bestände zwischen Venues leakten - ein Syndikationseffekt, bei dem dieselben Einträge auf mehreren Schaufenstern auftauchen. Der Takedown selbst speiste den Umlauf. Trend Micro berichtete im November 2023 über Operationen, die Genesis-Techniken spiegelten, darunter eine bösartige Browsererweiterung der Art, wie Genesis sie verkauft hatte, und verwies auf Berichte, dass Genesis' Infrastruktur und Bestände nach der Beschlagnahme im Untergrund verkauft worden seien. Ob eine echte Rückkehr bestand, blieb unbestätigt; dass die Methoden überdauerten, nicht. Rehub und die Konsolidierung der Foren
Die Sequenz danach folgt dem Muster, das Flashpoint für die Forumsebene nachgezeichnet hat. XSS wurde am 23. Juli 2025 abgeschaltet, und seine vertriebenen Nutzer standen vor einer Auswahl von Nachfolgern; Rehub behielt den Handel offen. Als das auf Ransomware fokussierte Forum RAMP am 28. Januar 2026 beschlagnahmt wurde, wanderten sie erneut. Bis Juli 2026 zählte Flashpoint über 8.300 aktive Nutzer und 15.000 Beiträge, mit Ransomware-Marken wie DragonForce - als wahrscheinlicher Sponsor oder Partner des Forums eingestuft -, die offen Affiliate-Programme betreiben. Mitgliedschaft kostet von 100 bis 5.000 Dollar pro Jahr, Streitigkeiten laufen über eine Schiedsstelle mit öffentlicher Scammer-Liste, und seit Mitte April 2026 bleiben neue Konten bis zur Prüfung in einer Sandbox. Was die Strafverfolgung veränderte - und was nicht
Als Sequenz gelesen - Genesis 2023, die Stealer- und Loader-Störungen 2025, XSS und RAMP bis 2026 - hat die Strafverfolgung den Handel konsequent verschoben statt beendet. Jede Aktion entfernt benannte Infrastruktur, enttarnt einige Beteiligte und erhöht die Betriebskosten; jede verdrängt auch Bestände und Käufer ins nächste Format. Der zentralisierte Shop wich der Abo-Cloud, die Cloud den Bot-Schaufenstern, und der Foren-Supermarkt bündelt inzwischen Affiliate-Programme, Datenbanken und Zugangsverkäufe hinter einem Sponsor-Banner. Die aktuelle Schaufenster-Ebene und die Grenzen der Stealer-Störungswelle 2025 haben wir in unserem früheren Beitrag zu Stealer-Log-Märkten nach den Takedowns beschrieben. Wer die Kategorie beobachtet, findet die signifikanten Signale in der Struktur: ob sich der Handel weiter in Foren mit Sponsor-Finanzierung konsolidiert, wie schnell die Preise für qualifizierte Logs ziehen und ob Treuhandschaft per Schiedsstelle hält. Die Namen wechseln nach Plan. Die Lieferkette - ein infizierter Browser nach dem anderen - nicht.
