Rehub и магазины краденых данных: как рынок логов переживает тейкдауны
10 августа 2025 года заработала русскоязычная платформа Rehub, созданная бывшим модератором XSS - еще несколькими неделями ранее одного из центральных форумов подполья, пока правоохранительные органы его не отключили. По данным исследователей Flashpoint, Rehub принял то, от чего его конкурент DamageLib, запущенный другими модераторами XSS 1 августа, сознательно отказался: незаконную торговлю. В разделе Supermarket рекламируются партнерские программы шифровальщиков, компрометированный доступ к сетям, малварь, украденные финансовые данные и слитые базы данных; сайт работает и в клирнете, и через Tor. Rehub - новейшее лицо старого промысла: рынка краденых логинов, куки, отпечатков и доступов, который годами на глазах у всех разбирали и собирали заново.
Что такое строка товара на самом деле
Основной товар - стилер-лог: автоматическая добыча, снятая с одной зараженной машины. Исследователи Kaspersky, следящие за даркнет-уголками, где продаются такие файлы, определяют их как автоматизированные коллекции данных, украденных стилер-малварью. Как каталогизировала команда Sekoia, типичный лог объединяет сведения о системе и данные браузера - сохраненные URL и пароли, куки, автозаполнение, банковские карты - плюс материалы из настольных приложений: почтовых клиентов, мессенджеров, криптокошельков и VPN-инструментов. Sekoia оценивала цены на квалифицированный, эксклюзивный товар в 5-100 долларов в зависимости от объема данных, страны жертвы и точности; магазины позволяют фильтровать по домену - ищут корпоративные VPN-порталы, админ-аккаунты и инструменты безопасности. Премиальный уровень - не пароль, а сессия. Куки и данные отпечатка браузера позволяют покупателю продолжить аутентифицированный вход и выглядеть как собственный браузер жертвы. Именно такая упаковка была ключевым продуктом Genesis Market: каждая личность продавалась как бот, в комплекте с собственным браузером для воспроизведения. Пароли можно сбросить; сессии и отпечатки переезжают вместе с покупателем. Апрель 2023-го: перелом, сдвинувший рынок
5 апреля 2023 года операция в 17 странах вывела из строя Genesis Market: 119 арестов, 208 обысков и 97 профилактических бесед с пользователями, сообщал Europol; на момент закрытия на площадке были выставлены на продажу личности более двух миллионов человек. Акция убрала самый отполированный прилавок этой торговли. Но не сам товар. Исследователи Sekoia, писавшие через несколько недель после захвата, описывали действующую торговлю на централизованных магазинах вроде Russian Market и 2easy и предполагали, что тейкдаун ускорит децентрализованные продажи - подписные сообщества и Telegram-ботов. Облака, боты и перекупщики: уровень синдикации
Этот уровень был задокументирован давно. Sekoia описывала «облака логов» - частные сообщества, продававшие подписочный доступ к оптовым запасам за 200-900 долларов в месяц; один предполагаемый оператор, BSC, предлагал 10 000 свежих логов в день за 2 299 долларов в месяц, с запасом более 300 000 логов по состоянию на декабрь 2022 года, четверть из них - от европейских жертв. Telegram-боты служили витринами по запросу: поиск по одной авиакомпании в одном боте возвращал 500 подходящих логов. Между операторами малвари и магазинами стоят инструменты обработки вроде BLTools и Crystal, которые нормализуют, дедуплицируют и проверяют строки, иногда сверяя баланс аккаунта перед продажей. Исследователи указали на структурный изъян уровня: покупатели перепродают, поэтому запасы утекают между площадками - эффект синдикации, при котором одни и те же строки всплывают в разных витринах. Сам тейкдаун подпитал оборот. Trend Micro сообщал в ноябре 2023 года об операциях, повторявших техники Genesis, включая вредоносное расширение браузера того типа, что продавал Genesis, и ссылался на сообщения, что инфраструктура и запасы Genesis были проданы в подполье после захвата. Подтвердилось ли настоящее возвращение - осталось неизвестным; то, что методы сохранились, - несомненно. Rehub и консолидация форумов
Последовательность дальше повторяет рисунок, который Flashpoint проследил для форумного уровня. XSS отключили 23 июля 2025 года, и его вытесненные пользователи выбирали между наследниками; Rehub открыто сохранил торговлю. Когда 28 января 2026 года был захвачен ориентированный на шифровальщики форум RAMP, миграция повторилась. К июлю 2026 года Flashpoint насчитывал свыше 8 300 активных пользователей и 15 000 сообщений, а бренды шифровальщиков, включая DragonForce - его считают вероятным спонсором или партнером форума, - открыто вели партнерские программы. Членство стоит от 100 до 5 000 долларов в год, споры проходят через арбитраж с публичным списком кидал, а с середины апреля 2026 года новые аккаунты содержатся в песочнице до проверки. Что изменила полиция - и что нет
Если читать это как последовательность - Genesis в 2023-м, удары по стилерам и лоадерам в 2025-м, XSS и RAMP в 2026-м, - правоохранительные органы последовательно смещали торговлю, а не заканчивали ее. Каждая акция убирает именованную инфраструктуру, разоблачает часть участников и повышает издержки; каждая же вытесняет запасы и покупателей в следующий формат. Централизованный магазин уступил подписному облаку, облако - ботам-витринам, а форумный супермаркет теперь собирает партнерские программы, базы данных и продажу доступов под баннером спонсора. Текущий витринный уровень и пределы волны ударов по стилерам 2025 года мы разбирали в нашем материале о рынках стилер-логов после тейкдаунов. Тем, кто следит за категорией, стоит отслеживать структурные сигналы: продолжится ли консолидация торговли в форумах со спонсорским финансированием, как быстро движутся цены на квалифицированные логи и выдержит ли эскроу через арбитраж. Имена меняются по расписанию. Цепочка поставок - по одному зараженному браузеру за раз - нет.
