Rehub e i negozi di dati rubati: come il mercato dei log sopravvive ai takedown
Il 10 agosto 2025 ha aperto i battenti una piattaforma in lingua russa chiamata Rehub, lanciata da un ex moderatore di XSS, poche settimane prima uno dei forum centrali del sotterraneo finché le forze dell'ordine non lo hanno spento. Secondo i ricercatori di Flashpoint, Rehub ha abbracciato ciò che il rivale DamageLib, avviato da altri moderatori di XSS il 1° agosto, aveva deliberatamente abbandonato: il commercio illecito. La sezione Supermarket pubblicizza programmi di affiliazione ransomware, accessi di rete compromessi, malware, dati finanziari rubati e database infiltrati, e il sito gira sia in clearnet sia su Tor. Rehub è il volto più recente di un commercio più antico - il mercato di login, cookie, impronte e accessi rubati - smontato e rimontato per anni sotto gli occhi di tutti.
Che cosa è davvero una riga di inventario
La merce centrale è lo stealer log: il bottino automatizzato estratto da una singola macchina infettata. I ricercatori di Kaspersky, che monitorano gli angoli della darknet dove questi file si vendono, li definiscono collezioni automatizzate di dati rubati da malware infostealer. Come catalogato dal team di ricerca di Sekoia, un log tipico raggruppa dettagli di sistema e dati del browser - URL e credenziali salvate, cookie, riempimento automatico, carte memorizzate - più materiale da applicazioni desktop come client di posta, messaggistica, portafogli di criptovalute e strumenti VPN. Sekoia collocava i prezzi dello stock qualificato ed esclusivo tra 5 e 100 dollari secondo volume di dati, paese della vittima e accuratezza; i negozi permettono di filtrare per dominio, alla ricerca di portali VPN aziendali, account amministratore e strumenti di sicurezza. Il livello premium non è la password ma la sessione. Cookie e dati di impronta del browser permettono a un acquirente di riprendere un login autenticato e di sembrare il browser stesso della vittima. Quella confezione era il prodotto centrale di Genesis Market: ogni identità venduta come bot, completa di un browser dedicato per replicarla. Le password si possono reimpostare; sessioni e impronte viaggiano con l'acquirente. Aprile 2023: l'inflessione che ha spostato il mercato
Il 5 aprile 2023 un'operazione in 17 paesi ha tolto di mezzo Genesis Market, con 119 arresti, 208 perquisizioni e 97 colloqui preventivi con gli utenti, riferisce Europol; il marketplace aveva in vetrina le identità di oltre due milioni di persone alla chiusura. L'azione ha rimosso la vetrina più lucida del commercio. Non la merce. I ricercatori di Sekoia, scrivendo poche settimane dopo il sequestro, descrivevano il commercio attivo su negozi centralizzati come Russian Market e 2easy e suggerivano che la caduta avrebbe accelerato le vendite decentralizzate - community in abbonamento e bot Telegram. Cloud, bot e rivenditori: lo strato di sindacazione
Quello strato era già documentato. Sekoia descriveva le 'cloud of logs', community private che vendevano accesso in abbonamento a scorte di massa per 200-900 dollari al mese; un presunto operatore, BSC, pubblicizzava 10.000 log freschi al giorno a 2.299 dollari al mese, con oltre 300.000 log a dicembre 2022, un quarto di vittime europee. I bot Telegram facevano da vetrine su richiesta: una ricerca su una sola compagnia aerea in un bot restituiva 500 log corrispondenti. Tra gli operatori di malware e i negozi si collocano strumenti di lavorazione come BLTools e Crystal, che normalizzano, deduplicano e validano le righe, verificando a volte i saldi prima della vendita. I ricercatori hanno indicato il difetto strutturale dello strato: gli acquirenti rivendono, quindi l'inventario trapela tra le piazze - un effetto di sindacazione per cui le stesse righe ricompaiono su più vetrine. Il takedown stesso ha alimentato la circolazione. Trend Micro riportava nel novembre 2023 operazioni che replicavano le tecniche di Genesis, compresa un'estensione malevola del browser del tipo che Genesis vendeva, e segnalava relazioni secondo cui l'infrastruttura e lo stock di Genesis erano stati venduti nel sotterraneo dopo il sequestro. Che ci sia stata una vera rinascita resta non confermato; che i metodi siano persistiti no. Rehub e la consolidazione dei forum
La sequenza da allora segue lo schema che Flashpoint ha tracciato per il livello dei forum. XSS è stato spento il 23 luglio 2025 e i suoi utenti spostati si sono trovati davanti a una lista di successori; Rehub ha tenuto apertamente il commercio. Quando il forum incentrato sul ransomware RAMP è stato sequestrato il 28 gennaio 2026, la migrazione si è ripetuta. A luglio 2026 Flashpoint contava oltre 8.300 utenti attivi e 15.000 messaggi, con brand ransomware come DragonForce - valutato come probabile sponsor o partner del forum - che gestiscono programmi di affiliazione alla luce del sole. Le iscrizioni costano da 100 a 5.000 dollari l'anno, le controversie passano per un arbitrato con una lista pubblica di truffatori e, da metà aprile 2026, i nuovi account restano confinati in una sandbox fino a verifica. Che cosa hanno cambiato le forze dell'ordine, e cosa no
Letta come sequenza - Genesis nel 2023, le disturbe dei stealer e dei loader nel 2025, XSS e RAMP fino al 2026 - le forze dell'ordine hanno costantemente spostato il commercio senza chiuderlo. Ogni azione rimuove un'infrastruttura con nome, espone alcuni partecipanti e alza i costi operativi; ogni azione sposta anche scorte e acquirenti verso il formato successivo. Il negozio centralizzato ha ceduto il passo alla cloud in abbonamento, la cloud alle vetrine via bot, e il supermercato di forum oggi aggrega programmi di affiliazione, database e vendita di accessi dietro un banner di sponsor. Abbiamo descritto l'attuale strato di vetrine e i limiti dell'ondata di disturbe dei stealer del 2025 nel nostro precedente articolo sui mercati di stealer log dopo i takedown. Per chi osserva la categoria, i segnali da seguire sono strutturali: se il commercio continua a consolidarsi in forum con finanziamento di sponsor, quanto velocemente si muovono i prezzi dei log qualificati e se l'escrow tramite arbitrato tiene. I nomi cambiano a orario fisso. La catena di fornitura - un browser infettato alla volta - no.
