Rehub e as lojas de dados roubados: como o mercado de logs sobrevive aos takedowns
Em 10 de agosto de 2025, uma plataforma em língua russa chamada Rehub abriu as portas, lançada por um ex-moderador do XSS, semanas antes um dos fóruns centrais do submundo até ser desativado pelas autoridades. Segundo pesquisadores da Flashpoint, o Rehub abraçou o que seu rival DamageLib, criado por outros moderadores do XSS em 1º de agosto, abandonou deliberadamente: o comércio ilícito. A seção Supermarket anuncia programas de afiliados de ransomware, acessos de rede comprometidos, malware, dados financeiros roubados e bases de dados vazadas, e o site funciona tanto na clearnet quanto no Tor. O Rehub é o rosto mais novo de um comércio mais antigo - o mercado de logins, cookies, impressões digitais e acessos roubados - desativado e remontado por anos à vista de todos.
O que é, de fato, uma linha de estoque
A mercadoria central é o stealer log: o espólio automatizado extraído de uma única máquina infectada. Os pesquisadores da Kaspersky, que monitoram os cantos da darknet onde esses arquivos são vendidos, os definem como coleções automatizadas de dados roubados por malware infostealer. Conforme catalogado pela equipe de pesquisa da Sekoia, um log típico reúne detalhes do sistema e dados do navegador - URLs e credenciais salvas, cookies, preenchimento automático, cartões armazenados - além de material de aplicativos de desktop, como clientes de e-mail, mensageiros, carteiras de criptomoedas e ferramentas de VPN. A Sekoia precificou estoque qualificado e exclusivo entre 5 e 100 dólares, conforme o volume de dados, o país da vítima e a precisão; as lojas permitem filtrar por domínio, em busca de portais VPN corporativos, contas de administrador e ferramentas de segurança. O nível premium não é a senha, é a sessão. Cookies e dados de impressão digital do navegador permitem que um comprador retome um login autenticado e finja estar usando o próprio navegador da vítima. Essa embalagem era o produto central do Genesis Market: cada identidade vendida como um bot, completa com um navegador próprio para reproduzi-la. Senhas podem ser redefinidas; sessões e impressões viajam com o comprador. Abril de 2023: a virada que moveu o mercado
Em 5 de abril de 2023, uma operação em 17 países tirou o Genesis Market do ar, com 119 prisões, 208 buscas e 97 visitas de advertência a usuários, segundo a Europol; o marketplace listava identidades de mais de duas milhões de pessoas quando foi fechado. A ação removeu a vitrine mais polida do comércio. Não removeu a mercadoria. Os pesquisadores da Sekoia, escrevendo semanas após a apreensão, descreviam o comércio ativo em lojas centralizadas como Russian Market e 2easy e sugeriam que a queda aceleraria as vendas descentralizadas - comunidades por assinatura e bots de Telegram. Nuvens, bots e revendedores: a camada de sindicação
Essa camada já estava documentada. A Sekoia descreveu as 'clouds of logs', comunidades privadas que vendiam acesso por assinatura a estoques em massa por 200 a 900 dólares por mês; um suposto operador, a BSC, anunciava 10.000 logs frescos por dia a 2.299 dólares por mês, com mais de 300.000 logs em estoque em dezembro de 2022, um quarto deles de vítimas europeias. Bots de Telegram serviam como vitrines sob demanda: uma busca por uma única companhia aérea em um bot devolvia 500 logs correspondentes. Entre os operadores de malware e as lojas ficam ferramentas de processamento como BLTools e Crystal, que normalizam, deduplicam e validam linhas, às vezes conferindo saldos antes da venda. Os pesquisadores apontaram a falha estrutural da camada: compradores revendem, então o estoque vaza entre praças - um efeito de sindicação em que as mesmas linhas aparecem em várias vitrines. A própria derrubada alimentou a circulação. A Trend Micro relatou em novembro de 2023 operações que espelhavam técnicas do Genesis, incluindo uma extensão maliciosa de navegador do tipo que o Genesis vendia, e anotou relatos de que a infraestrutura e o estoque do Genesis haviam sido vendidos no submundo após a apreensão. Se houve um retorno de verdade permaneceu sem confirmação; que os métodos persistiram, não. Rehub e a consolidação dos fóruns
A sequência seguinte segue o padrão que a Flashpoint traçou para o nível dos fóruns. O XSS foi desativado em 23 de julho de 2025, e seus usuários deslocados ficaram diante de uma lista de sucessores; o Rehub manteve abertamente o comércio. Quando o fórum focado em ransomware RAMP foi apreendido em 28 de janeiro de 2026, migraram de novo. Em julho de 2026, a Flashpoint contava mais de 8.300 usuários ativos e 15.000 publicações, com marcas de ransomware como a DragonForce - avaliada como provável patrocinadora ou parceira do fórum - rodando programas de afiliados às claras. As assinaturas custam de 100 a 5.000 dólares por ano, as disputas passam por uma arbitragem com lista pública de golpistas e, desde meados de abril de 2026, contas novas ficam confinadas a uma sandbox até verificação. O que a aplicação da lei mudou - e o que não mudou
Lida como sequência - Genesis em 2023, as disrupções de stealers e loaders em 2025, XSS e RAMP até 2026 - a aplicação da lei deslocou o comércio com consistência, sem encerrá-lo. Cada ação remove infraestrutura nominada, expõe participantes e encarece a operação; cada uma também empurra estoque e compradores para o formato seguinte. A loja centralizada deu lugar à nuvem por assinatura, a nuvem às vitrines de bots, e o supermercado de fórum hoje agrega programas de afiliados, bases de dados e venda de acessos sob um banner de patrocinador. Descrevemos a camada atual de vitrines e os limites da onda de disrupções de stealers de 2025 em nosso texto anterior sobre mercados de stealer logs após as derrubadas. Para quem observa a categoria, os sinais que valem acompanhamento são estruturais: se o comércio segue se consolidando em fóruns com patrocínio, quão rápido se movem os preços de logs qualificados e se o escrow por arbitragem se sustenta. Os nomes mudam numa agenda. A cadeia de suprimentos - um navegador infectado por vez - não.
