Rehub ve çalıntı veri dükkânları: log piyasası takedown'lardan nasıl sağ çıkıyor
10 Ağustos 2025'te Rehub adlı Rusça konuşan bir platform kapılarını açtı; kurucusu, haftalar öncesine kadar yeraltının merkezi forumlarından biri olan ve kolluk tarafından kapatılan XSS'in eski bir moderatörüydü. Flashpoint araştırmacılarına göre Rehub, rakibi DamageLib'in - 1 Ağustos'ta diğer XSS moderatörlerince kurulan - bilinçli olarak terk ettiği şeyi benimsedi: yasadışı ticareti. Supermarket bölümünde fidye yazılımı ortaklık programları, ele geçirilmiş ağ erişimleri, malware, çalıntı finans verileri ve sızdırılmış veritabanları ilan ediliyor; site hem clearnet'te hem Tor üzerinde çalışıyor. Rehub, yıllarca herkesin gözü önünde sökülüp yeniden kurulan eski bir ticaretin - çalıntı giriş bilgileri, çerezler, parmak izleri ve erişimler piyasasının - en yeni yüzü.
Bir envanter satırı gerçekte nedir
Ana meta stealer log'dur: tek bir enfekte makineden alınan otomatik ganimet. Bu dosyaların satıldığı darknet köşelerini izleyen Kaspersky araştırmacıları bunları stealer malware tarafından çalıntı verilerin otomatik derlemeleri olarak tanımlıyor. Sekoia araştırma ekibinin katalogladığı gibi tipik bir log; sistem ayrıntıları ile tarayıcı verilerini - kayıtlı URL'ler ve kimlik bilgileri, çerezler, otomatik doldurma, saklı kart verileri - ayrıca masaüstü uygulamalarından gelen malzemeyi - posta istemcileri, mesajlaşmalar, kripto cüzdanları ve VPN araçları - bir araya getiriyor. Sekoia, kalifiye ve münhasır stoğun fiyatını veri hacmine, kurbanın ülkesine ve isabetine göre 5-100 dolar aralığına koyuyordu; dükkânlar alıcılara etki alanına göre filtreleme izni veriyor - kurumsal VPN portalları, yönetici hesapları ve güvenlik araçları aranıyor. Premium katman parola değil, oturumdur. Çerezler ve tarayıcı parmak izi verileri, bir alıcının kimliği doğrulanmış bir girişi sürdürmesine ve kurbanın kendi tarayıcısı gibi görünmesine izin veriyor. Bu paketleme Genesis Market'in ana ürünüydü: her kimlik bot olarak satılıyor, yeniden oynatmak için özel bir tarayıcıyla birlikte. Parolalar sıfırlanabilir; oturumlar ve parmak izleri alıcıyla gider. Nisan 2023: piyasayı kaydıran kırılma noktası
5 Nisan 2023'te 17 ülkede yürütülen bir operasyon Genesis Market'i çevrimdışına aldı: kullanıcılara yönelik 119 tutuklama, 208 arama ve 97 kapı kapıya uyarı ziyaretiyle, Europol'in bildirdiğine göre; kapanış anında piyasada iki milyondan fazla insanın kimliği satıştaydı. Operasyon ticaretin en cilalı vitrinini kaldırdı. Metayı kaldıramadı. Baskından haftalar sonra yazan Sekoia araştırmacıları, Russian Market ve 2easy gibi merkezileşmiş dükkânlardaki canlı ticareti tarif ediyor ve düşüşün merkeziyetsiz satışı - abonelik toplulukları ve Telegram botlarını - hızlandıracağını öne sürüyordu. Bulutlar, botlar ve aracılar: sindikasyon katmanı
O katman çoktan belgelenmişti. Sekoia, toplu envantere abonelikle erişim satan özel topluluklar olan 'log bulutları'nı tarif ediyordu - ayda 200 ila 900 dolara; iddia edilen bir işletici olan BSC, günde 10.000 taze logu aylık 2.299 dolara duyuruyordu, Aralık 2022 itibarıyla stokta 300.000'den fazla log vardı, dörtte biri Avrupa kurbanlarından. Telegram botları talep üzerine vitrin görevi görüyordu: bir botta tek bir havayolu şirketiyle yapılan arama 500 eşleşen log döndürüyordu. Malware işletmecileri ile dükkânlar arasında BLTools ve Crystal gibi işleme araçları duruyor; satırları normalleştiriyor, tekilleştiriyor ve doğruluyor, satış öncesi bazen hesap bakiyesine bakıyor. Araştırmacılar katmanın yapısal kusuruna işaret etti: alıcılar yeniden satıyor, böylece stok mekânlar arasında sızıyor - aynı satırların birden çok vitrinde yeniden belirdiği bir sindikasyon etkisi. Baskının kendisi dolaşımı besledi. Trend Micro Kasım 2023'te Genesis tekniklerini yansıtan operasyonlar aktardı - Genesis'in sattığı türden kötücül bir tarayıcı uzantısı dahil - ve Genesis altyapısı ile stoğunun el koyma sonrası yeraltında satıldığına dair haberlere değindi. Gerçek bir dönüşün yaşanıp yaşanmadığı doğrulanmadı; yöntemlerin devam ettiği ise evet. Rehub ve forumların konsolidasyonu
Sonrasındaki dizi, Flashpoint'in forum katmanı için çizdiği örüntüyü izliyor. XSS 23 Temmuz 2025'te kapatıldı ve yerinden edilen kullanıcılar bir halef listesiyle baş başa kaldı; Rehub ticareti açıkça sürdürdü. Ransomware odaklı RAMP forumu 28 Ocak 2026'da el konulduğunda yeniden göç ettiler. Temmuz 2026'ya gelindiğinde Flashpoint 8.300'den fazla aktif kullanıcı ve 15.000 ileti sayıyordu; DragonForce dahil fidye yazılımı markaları - forumun olası sponsoru ya da ortağı olarak değerlendiriliyor - ortaklık programlarını açıkta işletiyordu. Üyelikler yılda 100 ile 5.000 dolar arasında, uyuşmazlıklar halka açık bir dolandırıcı listesi tutan bir hakem bölümünden geçiyor ve Nisan 2026 ortasından beri yeni hesaplar onaylanana dek bir sandbox'ta tutuluyor. Kolluk neyi değiştirdi, neyi değiştirmedi
Bir dizi olarak okunduğunda - 2023'te Genesis, 2025'te stealer ve loader baskınları, 2026'ya uzanan XSS ve RAMP - kolluk ticareti bitirmek yerine tutarlı biçimde kaydırdı. Her hamle adı konmuş altyapıyı kaldırıyor, bazı katılımcıları açığa düşürüyor ve işletme maliyetlerini yükseltiyor; her hamle stoku ve alıcıları da bir sonraki biçime itiyor. Merkezileşmiş dükkân abonelik bulutuna, bulut bot vitrinlerine yol verdi; forum süpermarketi bugün ortaklık programlarını, veritabanlarını ve erişim satışlarını sponsor bayrağı arkasında topluyor. Mevcut vitrin katmanını ve 2025 stealer baskın dalgasının sınırlarını, takedown sonrası stealer log piyasaları üzerine önceki yazımızda anlatmıştık. Kategoriyi izleyenler için izlenmeye değer sinyaller yapısal: ticaretin sponsor finansmanlı forumlarda konsolide olup olmayacağı, kalifiye log fiyatlarının ne kadar hızlı oynadığı ve hakemlik üzerinden escrow'un dayanıp dayanmayacağı. İsimler takvime göre değişiyor. Tedarik zinciri - her seferinde bir enfekte tarayıcı - değişmiyor.
