Rehub i sklepy z kradzionymi danymi: jak rynek logów przeżywa takedowny
10 sierpnia 2025 roku ruszyła rosyjskojęzyczna platforma o nazwie Rehub, założona przez byłego moderatora XSS - jeszcze kilka tygodni wcześniej jednego z centralnych forów podziemia, dopóki służby go nie wyłączyły. Jak relacjonują badacze Flashpoint, Rehub przyjął to, co jego rywal DamageLib, uruchomiony przez innych moderatorów XSS 1 sierpnia, świadomie porzucił: nielegalny handel. Sekcja Supermarket reklamuje programy partnerskie ransomware, skompromitowane dostępy do sieci, malware, skradzione dane finansowe i wycieki baz danych, a serwis działa zarówno w clearnecie, jak i przez Tor. Rehub to najnowsza twarz starszego procederu - rynku kradzionych loginów, ciasteczek, odcisków przeglądarki i dostępów - latami rozbieranego i składanego na nowo na oczach publiczności.
Czym naprawdę jest pozycja w magazynie
Podstawowym towarem jest stealer log: automatyczny łup zabrany z pojedynczej zainfekowanej maszyny. Badacze Kaspersky, którzy obserwują zakątki darknetu, gdzie sprzedaje się takie pliki, definiują je jako zautomatyzowane kolekcje danych ukradzionych przez stealery. Jak skatalogował zespół badawczy Sekoia, typowy log łączy dane systemowe i przeglądarkowe - zapisane adresy URL i dane logowania, ciasteczka, autouzupełnianie, zapisane karty - plus materiały z aplikacji desktopowych: klientów poczty, komunikatorów, portfeli kryptowalutowych i narzędzi VPN. Sekoia wyceniała kwalifikowany, ekskluzywny towar na 5-100 dolarów zależnie od objętości danych, kraju ofiary i trafności; sklepy pozwalają filtrować po domenie - w poszukiwaniu firmowych portali VPN, kont administratora i narzędzi bezpieczeństwa. Poziom premium to nie hasło, tylko sesja. Ciasteczka i dane odcisku przeglądarki pozwalają kupującemu wznowić uwierzytelnione logowanie i wyglądać jak własna przeglądarka ofiary. Taka pakowacja była głównym produktem Genesis Market: każda tożsamość sprzedawana jako bot, w komplecie z własną przeglądarką do jej odtworzenia. Hasła da się zresetować; sesje i odciski jadą z kupującym. Kwiecień 2023: przełom, który przesunął rynek
5 kwietnia 2023 roku operacja w 17 krajach zdjęła z sieci Genesis Market: 119 aresztowań, 208 przeszukań i 97 rozmów ostrzegawczych z użytkownikami, informował Europol; marketplace wystawiał tożsamości ponad dwóch milionów ludzi w chwili zamknięcia. Akcja usunęła najbardziej wypolerowaną witrynę tego handlu. Nie usunęła towaru. Badacze Sekoii, piszące kilka tygodni po przejęciu, opisywali działający handel na scentralizowanych sklepach takich jak Russian Market i 2easy i sugerowali, że takedown przyspieszy sprzedaż zdecentralizowaną - społeczności abonamentowe i boty Telegramowe. Chmury, boty i odsprzedawcy: warstwa syndykacji
Ta warstwa była już udokumentowana. Sekoia opisywała 'chmury logów' - prywatne społeczności sprzedające abonamentowy dostęp do hurtowych zapasów za 200-900 dolarów miesięcznie; jeden z domniemanych operatorów, BSC, reklamował 10 000 świeżych logów dziennie za 2 299 dolarów miesięcznie, z zapasem ponad 300 000 logów na grudzień 2022 roku, kwartał z nich od ofiar z Europy. Boty Telegramowe służyły jako witryny na żądanie: wyszukiwanie jednej linii lotniczej w jednym bocie zwracało 500 pasujących logów. Między operatorami malware a sklepami stoją narzędzia obróbki jak BLTools i Crystal, które normalizują, deduplikują i walidują wpisy, czasem sprawdzając saldo konta przed sprzedażą. Badacze wskazali strukturalną wadę warstwy: kupujący odsprzedają, więc zapasy przeciekają między rynkami - efekt syndykacji, w którym te same wpisy wypływają na kilku witrynach. Sam takedown napędził obieg. Trend Micro donosił w listopadzie 2023 roku o operacjach lustrzanych wobec technik Genesis, w tym o złośliwym rozszerzeniu przeglądarki tego typu, jakie Genesis sprzedawał, i przywoływał doniesienia, że infrastruktura i zapasy Genesis zostały sprzedane w podziemi po przejęciu. Czy nastąpił prawdziwy powrót - niepotwierdzone; to, że metody przetrwały - bez wątpliwości. Rehub i konsolidacja forów
Sekwencja od tego czasu powtarza wzór, który Flashpoint naszkicował dla poziomu forów. XSS wyłączono 23 lipca 2025 roku, a jego rozproszeni użytkownicy stanęli przed wyborem następców; Rehub jawnie zostawił handel. Gdy 28 stycznia 2026 roku przejęto nastawione na ransomware forum RAMP, przeprowadzili się znowu. Do lipca 2026 roku Flashpoint liczył ponad 8 300 aktywnych użytkowników i 15 000 postów, a marki ransomware, w tym DragonForce - oceniana jako prawdopodobny sponsor lub partner forum - jawnie prowadziły programy partnerskie. Członkostwo kosztuje od 100 do 5 000 dolarów rocznie, spory przechodzą przez arbitraż z publiczną listą oszustów, a od połowy kwietnia 2026 roku nowe konta są uwięzione w sandboksie do czasu weryfikacji. Co zmieniła policja - i czego nie zmieniła
Czytana jako sekwencja - Genesis w 2023, uderzenia w stealerów i loadery w 2025, XSS i RAMP do 2026 - egzekwowanie prawa konsekwentnie przesuwało handel, zamiast go kończyć. Każda akcja usuwa nazwaną infrastrukturę, demaskuje część uczestników i podnosi koszty operacyjne; każda wypycha też zapasy i kupujących do kolejnego formatu. Scentralizowany sklep ustąpił chmurze abonamentowej, chmura - witrynom botowym, a forum-supermarket agreguje dziś programy partnerskie, bazy danych i sprzedaż dostępów pod banerem sponsora. Obecną warstwę witryn i granice fali uderzeń w stealerów z 2025 roku opisaliśmy w naszym wcześniejszym tekście o rynkach stealer logów po takedownach. Kto obserwuje kategorię, ten śledzi sygnały strukturalne: czy handel dalej konsoliduje się w forach ze wsparciem sponsora, jak szybko ruszają ceny kwalifikowanych logów i czy escrow przez arbitraż się utrzyma. Nazwy zmieniają się wg rozkładu jazdy. Łańcuch dostaw - po jednym zainfekowanej przeglądarce - nie.
