Rehub і магазини вкрадених даних: як ринок логів переживає тейкдауни
10 серпня 2025 року запрацювала рускомовна платформа Rehub, створена колишнім модератором XSS - ще кількома тижнями раніше одного з центральних форумів підпілля, доки правоохоронці його не вимкнули. За даними дослідників Flashpoint, Rehub прийняв те, від чого його конкурент DamageLib, запущений іншими модераторами XSS 1 серпня, свідомо відмовився: незаконну торгівлю. У розділі Supermarket рекламуються партнерські програми шифрувальників, компрометований доступ до мереж, шкідливе ПЗ, викрадені фінансові дані та злиті бази даних; сайт працює і в клірнеті, і через Tor. Rehub - новітнє обличчя старого промислу: ринку крадених логінів, кукі, відбитків браузера та доступів, який роками на очах у всіх розбирали й збирали заново.
Що таке рядок товару насправді
Основний товар - стілер-лог: автоматична здобич, знята з однієї інфікованої машини. Дослідники Kaspersky, які стежать за даркнет-куточками, де продаються такі файли, визначають їх як автоматизовані колекції даних, викрадених стілер-малверю. Як каталогізувала команда Sekoia, типовий лог поєднує відомості про систему та дані браузера - збережені URL і паролі, кукі, автозаповнення, банківські картки - плюс матеріали з настільних застосунків: поштових клієнтів, месенджерів, криптогаманців і VPN-інструментів. Sekoia оцінювала ціни на кваліфікований, ексклюзивний товар у 5-100 доларів залежно від обсягу даних, країни жертви та точності; магазини дають змогу фільтрувати за доменом - шукають корпоративні VPN-портали, адмін-акаунти та інструменти безпеки. Преміальний рівень - це не пароль, а сесія. Кукі та дані відбитка браузера дозволяють покупцеві продовжити автентифікований вхід і виглядати як власний браузер жертви. Саме така упаковка була ключовим продуктом Genesis Market: кожна особа продавалася як бот, у комплекті з власним браузером для відтворення. Паролі можна скинути; сесії та відбитки переїжджають разом із покупцем. Квітень 2023-го: злам, що зрушив ринок
5 квітня 2023 року операція у 17 країнах вивела з ладу Genesis Market: 119 арештів, 208 обшуків і 97 профілактичних розмов із користувачами, повідомляв Europol; на момент закриття на майданчику були виставлені на продаж особи понад двох мільйонів людей. Акція прибрала найвідполірованішу вітрину цієї торгівлі. Але не сам товар. Дослідники Sekoia, що писали за кілька тижнів після захоплення, описували чинну торгівлю на централізованих магазинах на кшталт Russian Market та 2easy і припускали, що тейкдаун прискорить децентралізований продаж - підписні спільноти та Telegram-ботів. Хмари, боти й перекупники: рівень синдикації
Цей рівень був задокументований давно. Sekoia описувала «хмари логів» - приватні спільноти, що продавали підписний доступ до оптових запасів за 200-900 доларів на місяць; один імовірний оператор, BSC, пропонував 10 000 свіжих логів на день за 2 299 доларів на місяць, із запасом понад 300 000 логів станом на грудень 2022 року, чверть з них - від європейських жертв. Telegram-боти слугували вітринами на запит: пошук однієї авіакомпанії в одному боті повертав 500 відповідних логів. Між операторами шкідливого ПЗ та магазинами стоять інструменти обробки на кшталт BLTools і Crystal, які нормалізують, дедублікують і перевіряють рядки, іноді звіряючи баланс акаунта перед продажем. Дослідники вказали на структурну ваду рівня: покупці перепродають, тож запаси витікають між майданчиками - ефект синдикації, за якого ті самі рядки спливають у різних вітринах. Сам тейкдаун підживив обіг. Trend Micro повідомляв у листопаді 2023 року про операції, що повторювали техніки Genesis, включно зі шкідливим розширенням браузера того типу, що продавав Genesis, і посилався на повідомлення, ніби інфраструктуру та запаси Genesis продали в підпіллі після захоплення. Чи справдилося справжнє повернення - залишилося непідтвердженим; те, що методи вціліли, - безперечно. Rehub і консолідація форумів
Послідовність далі повторює малюнок, який Flashpoint простежив для форумного рівня. XSS вимкнули 23 липня 2025 року, і його витіснені користувачі обирали між спадкоємцями; Rehub відкрито зберіг торгівлю. Коли 28 січня 2026 року захопили орієнтований на шифрувальники форум RAMP, міграція повторилася. Станом на липень 2026 року Flashpoint нараховував понад 8 300 активних користувачів і 15 000 повідомлень, а бренди шифрувальників, включно з DragonForce - його вважають імовірним спонсором або партнером форуму, - відкрито вели партнерські програми. Членство коштує від 100 до 5 000 доларів на рік, суперечки проходять через арбітраж із публічним списком кидків, а з середини квітня 2026 року нові акаунти тримаються в пісочниці до перевірки. Що змінила поліція - і що ні
Якщо читати це як послідовність - Genesis у 2023-му, удари по стілерам і лоадерам у 2025-му, XSS і RAMP у 2026-му, - правоохоронці послідовно зміщували торгівлю, а не завершували її. Кожна акція прибирає іменовану інфраструктуру, викриває частину учасників і підвищує витрати; кожна ж витісняє запаси та покупців у наступний формат. Централізований магазин поступився підписній хмарі, хмара - ботам-вітринам, а форумний супермаркет тепер збирає партнерські програми, бази даних і продаж доступів під банером спонсора. Поточний вітринний рівень і межі хвилі ударів по стілерам 2025 року ми розбирали в нашому матеріалі про ринки стілер-логів після тейкдаунів. Тим, хто стежить за категорією, варто відстежувати структурні сигнали: чи триватиме консолідація торгівлі у форумах зі спонсорським фінансуванням, як швидко рухаються ціни на кваліфіковані логи та чи витримає ескроу через арбітраж. Імена змінюються за розкладом. Ланцюг постачання - по одному інфікованому браузеру за раз - ні.
