Rehub en de winkels met gestolen data: hoe de logmarkt zijn takedowns overleeft
Op 10 augustus 2025 opende een Russischtalig platform genaamd Rehub zijn deuren, opgericht door een voormalig moderator van XSS, weken eerder een van de centrale fora van de onderwereld tot de politie het uitschakelde. Volgens onderzoekers van Flashpoint omarmde Rehub wat zijn rivaal DamageLib, gestart door andere XSS-moderators op 1 augustus, bewust had opgegeven: illegale handel. De Supermarket-sectie adverteert ransomware-affiliateprogramma's, gecompromitteerde netwerktoegangen, malware, gestolen financiële data en gelekte databases, en de site draait zowel op het clearnet als op Tor. Rehub is het nieuwste gezicht van een oudere handel - de markt voor gestolen logins, cookies, vingerdrukken en toegangen - die jarenlang publiekelijk werd ontmanteld en weer in elkaar gezet.
Wat een inventarisregel werkelijk is
De kernwaar is de stealer log: de geautomatiseerde buit van één geïnfecteerde machine. De onderzoekers van Kaspersky, die de darknetplekken in de gaten houden waar deze bestanden worden verkocht, definiëren ze als geautomatiseerde verzamelingen data die door stealer-malware zijn gestolen. Zoals door het researchteam van Sekoia gecatalogiseerd, bundelt een typische log systeemdetails en browsergegevens - opgeslagen URL's en inloggegevens, cookies, autofill-items, opgeslagen kaartgegevens - plus materiaal uit desktopapplicaties zoals mailclients, messengers, cryptowallets en VPN-tools. Sekoia zette de prijzen voor gekwalificeerde, exclusieve voorraad op 5 tot 100 dollar, afhankelijk van datavolume, land van het slachtoffer en nauwkeurigheid; winkels laten kopers filteren op domein, op zoek naar zakelijke VPN-portals, admin-accounts en securitytooling. De premiumlaag is niet het wachtwoord maar de sessie. Cookies en browservingerdrukdata laten een koper een geauthenticeerde login hervatten en doen alsof hij de eigen browser van het slachtoffer gebruikt. Die verpakking was het kernproduct van Genesis Market: elke identiteit verkocht als een bot, compleet met een eigen browser om die af te spelen. Wachtwoorden zijn te resetten; sessies en vingerdrukken reizen met de koper mee. April 2023: het keerpunt dat de markt verplaatste
Op 5 april 2023 haalde een operatie in 17 landen Genesis Market offline, met 119 arrestaties, 208 huiszoekingen en 97 waarschuwingsgesprekken met gebruikers, meldt Europol; de marktplaats had bij de sluiting de identiteiten van meer dan twee miljoen mensen te koop staan. De actie nam de meest gepolijste etalage van de handel weg. Niet de handelswaar. De onderzoekers van Sekoia, schrijvend enkele weken na de inbeslagname, beschreven de lopende handel op gecentraliseerde winkels als Russian Market en 2easy en vermoedden dat de takedown gedecentraliseerde verkoop zou versnellen - abonnementsgemeenschappen en Telegram-bots. Clouds, bots en wederverkopers: de syndicatielaag
Die laag was al gedocumenteerd. Sekoia beschreef 'clouds of logs', besloten gemeenschappen die abonnementstoegang tot bulkvoorraad verkochten voor 200 tot 900 dollar per maand; een vermoedelijke beheerder, BSC, adverteerde met 10.000 verse logs per dag voor 2.299 dollar per maand, met meer dan 300.000 logs op voorraad in december 2022, een kwart daarvan van Europese slachtoffers. Telegram-bots dienden als vraaggestuurde etalages: een zoekopdracht naar één luchtvaartmaatschappij leverde in een bot 500 passende logs op. Tussen de malwarebeheerders en de winkels zitten verwerkingstools als BLTools en Crystal, die regels normaliseren, dedupliceren en valideren, soms met een saldocontrole vóór de verkoop. Onderzoekers wezen op de structurele zwakte van de laag: kopers verkopen door, waardoor voorraad tussen plekken lekt - een syndicatie-effect waarbij dezelfde regels op meerdere etalages opduiken. De takedown zelf voedde de circulatie. Trend Micro meldde in november 2023 operaties die Genesis-technieken spiegelden, waaronder een kwaadaardige browserextensie van het soort dat Genesis verkocht, en verwees naar berichten dat Genesis' infrastructuur en voorraad na de inbeslagname in de onderwereld waren verkocht. Of er een echte wederopstanding was, bleef onbevestigd; dat de methoden bleven bestaan, niet. Rehub en de consolidatie van fora
De volgorde daarna volgt het patroon dat Flashpoint voor de forumlaag heeft geschetst. XSS werd op 23 juli 2025 uitgeschakeld en de verplaatste gebruikers stonden voor een keuze uit opvolgers; Rehub hield de handel openlijk aan. Toen het op ransomware gerichte forum RAMP op 28 januari 2026 werd ingenomen, migreerden ze opnieuw. In juli 2026 telde Flashpoint meer dan 8.300 actieve gebruikers en 15.000 berichten, met ransomwaremerken als DragonForce - beoordeeld als waarschijnlijke sponsor of partner van het forum - die openlijk affiliateprogramma's draaien. Lidmaatschap kost 100 tot 5.000 dollar per jaar, geschillen gaan via een arbitrage-sectie met een openbare oplichterslijst, en sinds half april 2026 blijven nieuwe accounts in een sandbox tot ze zijn gecontroleerd. Wat handhaving veranderde, en wat niet
Gelezen als volgorde - Genesis in 2023, de verstoringen van stealers en loaders in 2025, XSS en RAMP tot in 2026 - heeft handhaving de handel consequent verschoven in plaats van beëindigd. Elke actie haalt benoemde infrastructuur weg, ontmaskert deelnemers en verhoogt de bedrijfskosten; elke actie duwt ook voorraad en kopers naar het volgende formaat. De gecentraliseerde winkel maakte plaats voor de abonnementscloud, de cloud voor botetalages, en de forumsupermarkt bundelt inmiddels affiliateprogramma's, databases en toegangsverkopen achter een sponsorbanner. We beschreven de huidige etalagelaag en de grenzen van de stealerverstoringsgolf van 2025 in ons eerdere stuk over stealer-logmarkten na de takedowns. Wie de categorie volgt, let best op structurele signalen: of de handel zich blijft consolideren in forums met sponsorfinanciering, hoe snel de prijzen van gekwalificeerde logs bewegen en of escrow via arbitrage standhoudt. De namen wisselen volgens schema. De toeleveringsketen - één geïnfecteerde browser per keer - niet.
