Rehub et les boutiques de données volées : comment le marché des logs survit aux takedowns
Le 10 août 2025, une plateforme russophone baptisée Rehub a ouvert ses portes, lancée par un ancien modérateur de XSS, quelques semaines plus tôt l'un des forums centraux de la clandestinité jusqu'à son démantèlement par les autorités. Selon les chercheurs de Flashpoint, Rehub a embrassé ce que son rival DamageLib, lancé par d'autres modérateurs de XSS le 1er août, avait délibérément abandonné : le commerce illicite. Sa section Supermarket fait la promotion de programmes d'affiliation de ransomware, d'accès réseaux compromis, de malware, de données financières volées et de bases de données fuitées, et le site fonctionne à la fois sur le clearnet et sur Tor. Rehub est le visage le plus récent d'un commerce plus ancien - le marché des identifiants, cookies, empreintes et accès volés - démantelé et remonté pendant des années sous les yeux du public.
Ce qu'est réellement une ligne d'inventaire
La marchandise centrale, c'est le stealer log : le butin automatisé extrait d'une seule machine infectée. Les chercheurs de Kaspersky, qui surveillent les recoins de la darknet où ces fichiers se vendent, les définissent comme des collections automatisées de données volées par des stealers. Comme l'a catalogué l'équipe de recherche de Sekoia, un log typique regroupe des détails système et des données de navigateur - URL et identifiants enregistrés, cookies, champs de remplissage automatique, cartes stockées - ainsi que du matériel d'applications de bureau comme les clients de messagerie, les messageries instantanées, les portefeuilles de cryptomonnaies et les outils VPN. Sekoia situait les prix du stock qualifié et exclusif entre 5 et 100 dollars selon le volume de données, le pays de la victime et la précision ; les boutiques permettent de filtrer par domaine, à la recherche de portails VPN d'entreprise, de comptes administrateur et d'outils de sécurité. Le niveau premium, ce n'est pas le mot de passe, c'est la session. Les cookies et les données d'empreinte du navigateur permettent à un acheteur de reprendre une connexion authentifiée et de passer pour le navigateur même de la victime. Cet emballage était le produit central de Genesis Market : chaque identité se vendait en bot, avec un navigateur dédié pour la rejouer. Un mot de passe se réinitialise ; les sessions et les empreintes voyagent avec l'acheteur. Avril 2023 : le point d'inflexion qui a déplacé le marché
Le 5 avril 2023, une opération menée dans 17 pays a retiré Genesis Market de la circulation, avec 119 arrestations, 208 perquisitions et 97 visites d'avertissement auprès d'utilisateurs, selon Europol ; la place de marché affichait à sa fermeture les identités de plus de deux millions de personnes. L'action a retiré la vitrine la plus léchée du commerce. Pas la marchandise. Les chercheurs de Sekoia, écrivant quelques semaines après la saisie, décrivaient le commerce actif sur des boutiques centralisées comme Russian Market et 2easy et suggéraient que la chute accélérerait les ventes décentralisées - communautés sur abonnement et bots Telegram. Clouds, bots et revendeurs : la couche de syndication
Cette couche était déjà documentée. Sekoia décrivait les 'clouds of logs', des communautés privées vendant un accès par abonnement à des stocks en masse pour 200 à 900 dollars par mois ; un opérateur présumé, BSC, annonçait 10 000 logs frais par jour à 2 299 dollars par mois, avec plus de 300 000 logs en réserve en décembre 2022, dont un quart provenant de victimes européennes. Les bots Telegram servaient de vitrines à la demande : une recherche sur une seule compagnie aérienne dans un bot renvoyait 500 logs correspondants. Entre les opérateurs de malware et les boutiques s'intercalent des outils de traitement comme BLTools et Crystal, qui normalisent, dédupliquent et valident les lignes, en vérifiant parfois les soldes avant la vente. Les chercheurs ont pointé le défaut structurel de la couche : les acheteurs revendent, si bien que le stock fuit entre les sites - un effet de syndication qui fait réapparaître les mêmes lignes sur plusieurs vitrines. La saisie elle-même a nourri la circulation. Trend Micro rapportait en novembre 2023 des opérations reprenant les techniques de Genesis, dont une extension de navigateur malveillante du genre de celles que Genesis vendait, et relevait des signalements selon lesquels l'infrastructure et le stock de Genesis avaient été vendus dans la clandestinité après la saisie. Qu'un véritable retour ait eu lieu restait non confirmé ; que les méthodes aient persisté, non. Rehub et la consolidation des forums
La séquence depuis suit le schéma que Flashpoint a tracé pour l'étage des forums. XSS a été démantelé le 23 juillet 2025 et ses utilisateurs déplacés ont eu le choix des successeurs ; Rehub a ouvertement gardé le commerce. Lorsque le forum tourné vers le ransomware RAMP a été saisi le 28 janvier 2026, la migration a recommencé. En juillet 2026, Flashpoint comptait plus de 8 300 utilisateurs actifs et 15 000 messages, avec des marques de ransomware dont DragonForce - évaluée comme probable sponsor ou partenaire du forum - tenant des programmes d'affiliation au grand jour. Les adhésions vont de 100 à 5 000 dollars par an, les litiges passent par un arbitrage avec une liste publique d'escrocs et, depuis la mi-avril 2026, les nouveaux comptes restent confinés dans un bac à sable jusqu'à vérification. Ce que l'application de la loi a changé, et ce qu'elle n'a pas changé
Lue comme une séquence - Genesis en 2023, les perturbations des stealers et loaders en 2025, XSS et RAMP jusqu'en 2026 - l'application de la loi a constamment déplacé le commerce sans le terminer. Chaque action retire une infrastructure nommée, expose certains participants et renchérit les coûts d'exploitation ; chacune déplace aussi le stock et les acheteurs vers le format suivant. La boutique centralisée a cédé la place au cloud sur abonnement, le cloud aux vitrines par bots, et le supermarché de forum agrège désormais programmes d'affiliation, bases de données et ventes d'accès derrière une bannière de sponsor. Nous avons décrit la couche actuelle des vitrines et les limites de la vague de perturbations des stealers de 2025 dans notre précédent article sur les marchés de stealer logs après les takedowns. Pour qui observe la catégorie, les signaux à suivre sont structurels : la consolidation du commerce dans des forums financés par des sponsors, la vitesse à laquelle bouge le prix des logs qualifiés, la tenue du séquestre par arbitrage. Les noms changent selon un calendrier. La chaîne d'approvisionnement - un navigateur infecté à la fois - non.
