Big Pipes: die ehrenamtlichen Ermittler, deren Honeypots DDoS-Dienste zu Fall brachten

Big Pipes entstand 2014 auf der Slam-Spam-Konferenz in Pittsburgh, als die Sicherheitsforscherin Allison Nixon, damals bei Deloitte, dem FBI-Agenten Elliot Peterson, der gerade den Game-Over-Zeus-Botnet zu Fall gebracht hatte, eine Zusammenarbeit vorschlug. Ihr Ziel: „Booter“- oder „Stresser“-Dienste, die Distributed-Denial-of-Service-Angriffe im Abonnement verkaufen – oft für rund 20 Dollar für mehrere Angriffe –, wodurch Gamer und Rachegeladene die Verbindungen ihrer Rivalen mit Junk-Traffic fluten können.

Die Gruppe, die sich bildete – etwa 30 Mitglieder auf Slack und in wöchentlichen Calls, rekrutiert aus großen Cloud-Anbietern, Gaming-Unternehmen, der Wissenschaft sowie einigen FBI-Agenten und Staatsanwälten –, nahm ihren Namen von dem Scherz „big pipes start fights“. Nixon und Clayton bauten Sensornetzwerke auf – Honeypots, die sich Botnets von Hackern anschlossen oder sich als Reflection-Server ausgaben, um Angriffsbefehle aufzuzeichnen –, während Branchenmitglieder jahrelanges Wissen aus erster Hand als Opfer und Verteidiger beisteuerten und Freiwillige Betreiber anhand ihrer eigenen Forenbeiträge und Anzeigenseiten enttarnten.

Die Pipeline funktionierte: Eine Aktion im Dezember 2018 führte zur Festnahme von drei Hackern und setzte ein Dutzend Booter-Dienste offline; die Operation Power Off im Dezember 2022 führte zu sechs Festnahmen und zur Abschaltung von nicht weniger als 49 DDoS-for-Hire-Seiten – der größte Schlag dieser Art; und im Mai 2023 verkündete das FBI die Abschaltung von 13 weiteren Cyberattack-for-Hire-Diensten – alle drei Operationen gingen aus der Gruppe hervor. Claytons Warnung an die Überlebenden: Wer diesmal nicht beschlagnahmt wurde, könnte zu dem Schluss kommen, dass die eigenen Chancen auf eine Untersuchung gerade gestiegen sind – „vielleicht solltest du nicht abwarten, was passiert“.

Honeypots, die sich Botnets anschließen und sich als Reflection-Server ausgeben, mit den größten Infrastrukturbetreibern zusammenzubringen und Angriffsmessungen in Beweismittel für die Strafverfolgung umzuwandeln.

Die Honeypots kehrten die Überwachung um: Forscher standen innerhalb der Botnets und Reflection-Server und zeichneten Angriffsbefehle auf, während sie erteilt wurden.

Die Mitgliedschaft selbst war der Mechanismus – die Betreiber der größten Leitungen des Internets waren zugleich Kollateralopfer der Booter, sodass Messung, Motivation und Beweise im selben Raum lagen.

Staatsanwälte und Agenten in eine informelle Gruppe einzubetten, verkürzte den Weg von einem Hinweis zu einer rechtmäßigen Abschaltung auf eine Slack-Nachricht.

Eine informelle Arbeitsgruppe kann Institutionen übertreffen: Gib Freiwilligen mit Sensoren und Opfern mit Daten einen direkten Kanal zu Staatsanwälten, und die Fallpipeline baut sich von selbst auf.

Bis Mai 2023 hatte Big Pipes in fünf Jahren drei große Abschaltungen angestoßen – die Festnahmen von 2018, die sechs Festnahmen und 49 beschlagnahmten Seiten der Operation Power Off und die im Mai angekündigte Aktion gegen 13 Dienste –, wobei die Gruppe weiterhin die Booter verfolgte, die online blieben. Die Operationen schienen sich zu beschleunigen.