Big Pipes comenzó en la conferencia Slam Spam en Pittsburgh en 2014, cuando la investigadora de seguridad Allison Nixon, entonces en Deloitte, propuso una colaboración al agente del FBI Elliot Peterson, recién salido del desmantelamiento de la botnet Game Over Zeus. Su objetivo: los servicios 'booter' o 'stresser' que venden ataques de denegación de servicio distribuido como suscripción —a menudo alrededor de 20 dólares por múltiples ataques—, permitiendo a gamers y rencorosos inundar las conexiones de sus rivales con tráfico basura.
El grupo que se formó —unos 30 miembros en Slack y llamadas semanales, provenientes de grandes proveedores de nube, empresas de videojuegos, el ámbito académico y algunos agentes y fiscales del FBI— tomó su nombre del chiste 'big pipes start fights'. Nixon y Clayton construyeron redes de sensores —honeypots que se unían a las botnets de los hackers o se hacían pasar por servidores de reflexión para registrar los comandos de ataque—, mientras los miembros de la industria aportaban años de conocimiento de primera mano como víctimas y defensores, y los voluntarios desenmascaraban a los operadores a partir de sus propias publicaciones en foros y sitios de anuncios.
El proceso funcionó: un desmantelamiento en diciembre de 2018 arrestó a tres hackers y dejó fuera de línea a una docena de servicios booter; la Operación Power Off en diciembre de 2022 condujo a seis arrestos y al desmantelamiento de no menos de 49 sitios de DDoS por encargo —el mayor golpe de este tipo—; y en mayo de 2023 el FBI anunció el desmantelamiento de 13 servicios más de ciberataques por encargo —las tres operaciones se originaron dentro del grupo. La advertencia de Clayton a los supervivientes: si no te incautaron esta vez, podrías concluir que tus probabilidades de ser investigado acaban de aumentar: «puede que no quieras esperar a ver qué pasa».
Combinar honeypots que se unen a botnets y se hacen pasar por servidores de reflexión con los mayores operadores de infraestructura, convirtiendo la medición de ataques en evidencia para procesamientos.
Los honeypots invirtieron la vigilancia: los investigadores se situaron dentro de las botnets y los servidores de reflexión, registrando los comandos de ataque a medida que se emitían.
La propia composición del grupo era el mecanismo: los operadores de las mayores tuberías de internet eran también víctimas colaterales de los booters, de modo que la medición, la motivación y la evidencia convivían en la misma sala.
Integrar a fiscales y agentes en un grupo informal redujo la distancia entre una pista y un desmantelamiento legal a un mensaje de Slack.
Un grupo de trabajo informal puede superar a las instituciones: dale a voluntarios con sensores y a víctimas con datos un canal directo hacia los fiscales, y el flujo de casos se construye solo.
En mayo de 2023, Big Pipes había sembrado tres desmantelamientos importantes en cinco años —los arrestos de 2018, los seis arrestos y 49 sitios incautados de la Operación Power Off, y la operación de 13 servicios anunciada ese mayo—, con el grupo aún siguiendo la pista de los booters que permanecían en línea. Las operaciones parecían estar acelerándose.
CONSULTA LAS PRUEBAS
Las fuentes
- The Team of Sleuths Quietly Hunting Cyberattack-for-Hire Services WIRED · wired.com ·