Rehub与被盗数据商店：日志市场如何在一次次打击后幸存
2025年8月10日，一个名为Rehub的俄语平台开张营业，创办者是XSS的一名前版主——就在几周前，XSS还是地下世界的核心论坛之一，随后被执法部门关停。据Flashpoint研究人员介绍，Rehub接纳了其竞争对手DamageLib（8月1日由XSS的其他版主创立）刻意放弃的东西：非法交易。它的Supermarket板块公开招揽勒索软件联盟计划、失陷的网络访问权限、恶意软件、被盗金融数据和泄露的数据库，站点同时在明网和Tor上运行。Rehub是一门更古老生意的最新面孔——被盗登录凭证、Cookie、浏览器指纹与访问权限的市场——多年来，这门生意在众目睽睽之下被拆解又重组。
一条库存记录究竟是什么
核心商品是窃密日志（stealer log）：从单一受感染机器上自动窃取的战利品。Kaspersky的研究人员长期监控出售这类文件的暗网角落，将其定义为窃密型恶意软件自动窃取的数据集合。按照Sekoia研究团队的归类，一条典型日志捆绑了系统细节和浏览器数据——保存的网址与凭证、Cookie、自动填充条目、存储的银行卡——以及桌面应用中的材料：邮件客户端、即时通讯软件、加密货币钱包和VPN工具的资料。Sekoia给出的合格、独家货源定价为5至100美元，视数据量、受害者所在国家和准确度而定；商店允许买家按域名筛选，搜寻企业VPN门户、管理员账户和安全工具。 溢价最高的层级不是密码，而是会话。Cookie与浏览器指纹数据让买家能够续用一个已通过认证的登录，并伪装成受害者自己的浏览器。这种打包正是Genesis Market的核心产品：每条身份都作为一个bot出售，附带专用浏览器用于回放。密码可以重置；会话和指纹却随买家一起转移。 2023年4月：撬动市场的转折点
2023年4月5日，一场横跨17个国家的行动将Genesis Market下线：据Europol通报，针对其用户执行了119次逮捕、208次搜查和97次上门劝诫；被关停时，该市场挂牌出售超过两百万人的身份资料。这次行动摘除了这门生意中最光鲜的店面，却没有摘除商品本身。Sekoia的研究人员在查封数周后写道，Russian Market、2easy等集中式商店交易照旧，并推断这次倒台会加速去中心化销售——订阅制社区和Telegram机器人。 云、机器人和转售者：分销层
这一层早已被记录在案。Sekoia描述过所谓日志云（clouds of logs）：以每月200至900美元出售批量库存订阅访问的私密社群；一个被称为BSC的涉嫌运营者宣称每天供应1万条新鲜日志、月费2,299美元，截至2022年12月库存超过30万条，其中四分之一来自欧洲受害者。Telegram机器人充当随取随用的店面：在某台机器人里搜索一家航空公司，返回了500条匹配日志。夹在恶意软件运营者与商店之间的，是BLTools、Crystal之类的加工工具，负责规范、去重和校验记录，售前有时还会核对账户余额。研究人员指出了这一层的结构性缺陷：买家会转售，因此库存在各场地之间渗漏——这是一种分销效应，同样的记录会同时出现在多个店面。 查封本身反而喂饱了流通。Trend Micro在2023年11月报道了复刻Genesis手法的行动，包括Genesis曾出售的那类恶意浏览器扩展，并提到有报告称Genesis的基础设施和库存在查封后被卖入地下。是否真有复活未获证实；但那些手法延续了下来，这一点毋庸置疑。 Rehub与论坛的整合
此后的时序遵循Flashpoint为论坛层勾勒的模式。XSS于2025年7月23日被关停，流离失所的用户面对一排继任者；Rehub公开保留了交易。当聚焦勒索软件的论坛RAMP于2026年1月28日被查封时，他们再度迁移。到2026年7月，Flashpoint统计有超过8,300名活跃用户和15,000条帖子，勒索软件品牌——包括被评估为论坛可能赞助商或合作伙伴的DragonForce——公开运营联盟计划。会员费从每年100美元到5,000美元不等，纠纷交由设有公开骗子名单的仲裁版处理，而自2026年4月中旬起，新账号须留在沙箱中接受审查。 执法改变了什么，没改变什么
把这条时间线连起来读——2023年的Genesis、2025年针对窃密软件和加载器的打击、延续到2026年的XSS与RAMP——执法始终在转移这门生意，而不是终结它。每次行动都移除了具名的基础设施，曝光了部分参与者，抬高了运营成本；每次行动也都把库存和买家推向下一个形态。集中式商店让位于订阅云，订阅云让位于机器人店面，而论坛超市如今把联盟计划、数据库和访问权限销售聚拢在赞助商横幅之下。我们在先前关于打击行动后的窃密日志市场的文章中，描述了当前的店面层和2025年窃密软件打击潮的局限。 对于关注这个类别的读者，值得追踪的信号是结构性的：交易是否会继续向有赞助商注资的论坛整合；合格日志的价格变动有多快；以仲裁充当担保的托管能否守住。名字按时刻表更换。供应链——一次一台受感染的浏览器——不会。
