Big Pipes : les enquêteurs bénévoles dont les honeypots ont fait tomber les sites de DDoS à la demande

Big Pipes est né à la conférence Slam Spam à Pittsburgh en 2014, lorsque la chercheuse en sécurité Allison Nixon, alors chez Deloitte, a proposé une collaboration à l'agent du FBI Elliot Peterson, tout juste auréolé du démantèlement du botnet Game Over Zeus. Leur cible : les services de « booter » ou « stresser » qui vendent des attaques par déni de service distribué sous forme d'abonnement — souvent autour de 20 dollars pour plusieurs attaques —, permettant à des joueurs et à des rancuniers d'inonder de trafic indésirable les connexions de leurs rivaux.

Le groupe qui s'est formé — une trentaine de membres sur Slack et lors d'appels hebdomadaires, issus de grands fournisseurs de cloud, d'entreprises du jeu vidéo, du monde universitaire, ainsi que quelques agents du FBI et procureurs — a tiré son nom de la plaisanterie « big pipes start fights ». Nixon et Clayton ont construit des réseaux de capteurs — des honeypots qui rejoignaient les botnets des pirates ou se faisaient passer pour des serveurs de réflexion afin d'enregistrer les commandes d'attaque —, tandis que les membres de l'industrie apportaient des années de connaissance directe des victimes et des défenseurs, et que des bénévoles démasquaient les opérateurs à partir de leurs propres messages sur les forums et de leurs sites publicitaires.

Le circuit a fonctionné : un démantèlement en décembre 2018 a conduit à l'arrestation de trois pirates et mis hors ligne une douzaine de services de booter ; l'opération Power Off en décembre 2022 a donné lieu à six arrestations et au démantèlement de pas moins de 49 sites de DDoS à la demande — la plus grande prise du genre ; et en mai 2023, le FBI a annoncé le démantèlement de 13 autres services de cyberattaques à la demande — les trois opérations étant nées au sein du groupe. L'avertissement de Clayton aux survivants : si vous n'avez pas été saisis cette fois-ci, vous pourriez en conclure que vos chances d'être l'objet d'une enquête viennent d'augmenter — « vous ne voudrez peut-être pas attendre de voir ce qui se passe ».

Associer des honeypots qui rejoignent les botnets et se font passer pour des serveurs de réflexion aux plus grands opérateurs d'infrastructure, en transformant la mesure des attaques en preuves à charge.

Les honeypots ont inversé la surveillance : les chercheurs se tenaient à l'intérieur des botnets et des serveurs de réflexion, enregistrant les commandes d'attaque au moment où elles étaient émises.

L'adhésion elle-même était le mécanisme — les opérateurs des plus grands tuyaux d'Internet étaient aussi les victimes collatérales des booters, si bien que la mesure, la motivation et les preuves se trouvaient dans la même pièce.

L'intégration de procureurs et d'agents dans un groupe informel a réduit la distance entre une piste et un démantèlement légal à un message Slack.

Un groupe de travail informel peut surpasser les institutions : donnez aux bénévoles dotés de capteurs et aux victimes détentrices de données un canal direct vers les procureurs, et le circuit des affaires se construit de lui-même.

En mai 2023, Big Pipes avait amorcé trois démantèlements majeurs en cinq ans — les arrestations de 2018, les six arrestations et 49 sites saisis de l'opération Power Off, et l'opération visant 13 services annoncée ce mois de mai —, le groupe continuant de suivre les booters restés en ligne. Les opérations semblaient s'accélérer.