Big Pipes: 허니팟으로 DDoS 대행 사이트를 무너뜨린 자원봉사 수사팀

Big Pipes는 2014년 피츠버그에서 열린 Slam Spam 콘퍼런스에서 시작됐다. 당시 Deloitte에 있던 보안 연구원 Allison Nixon이 Game Over Zeus 봇넷 적발 직후 합류한 FBI 요원 Elliot Peterson에게 협업을 제안하면서 출발했다. 이들의 표적은 분산 서비스 거부(DDoS) 공격을 구독 형태로 판매하는 '부터(booter)' 또는 '스트레서(stresser)' 서비스였다. 이 서비스는 흔히 여러 차례 공격에 약 20달러를 받고, 게이머나 앙심을 품은 이들이 경쟁자의 연결을 쓰레기 트래픽으로 범람시키도록 해줬다.

이렇게 결성된 그룹은 Slack과 주간 통화에 약 30명의 멤버로 구성됐으며, 주요 클라우드 제공업체, 게임 회사, 학계에서 온 인원과 소수의 FBI 요원 및 검사가 참여했다. 그룹 이름은 '큰 파이프가 싸움을 시작한다(big pipes start fights)'는 농담에서 따왔다. Nixon과 Clayton은 해커들의 봇넷에 가입하거나 리플렉션 서버로 위장해 공격 명령을 기록하는 센서 네트워크, 즉 허니팟을 구축했고, 업계 멤버들은 수년간 피해자이자 방어자로서 쌓은 직접 경험을 제공했으며, 자원봉사자들은 운영자들의 포럼 게시글이나 광고 사이트에서 신원을 밝혀냈다.

이 파이프라인은 효과를 냈다. 2018년 12월의 적발 작전으로 해커 3명이 체포되고 12개의 부터 서비스가 오프라인으로 전환됐다. 2022년 12월의 Operation Power Off로 6명이 체포되고 최소 49개의 DDoS 대행 사이트가 적발됐는데, 이는 동종 사상 최대 규모의 적발이었다. 그리고 2023년 5월 FBI는 추가로 13개의 사이버 공격 대행 서비스 적발을 발표했다. 이 세 작전은 모두 이 그룹 내부에서 시작됐다. Clayton이 살아남은 이들에게 한 경고는 이러했다. 이번에 적발되지 않았다면 조사받을 확률이 방금 높아졌다고 결론 내릴 수도 있다며, '무슨 일이 일어나는지 두고 보려고 기다리지 않는 게 좋을 것'이라고 말했다.

봇넷에 가입하고 리플렉션 서버로 위장하는 허니팟을 최대 인프라 운영자들과 결합해, 공격 측정을 기소 증거로 전환했다.

허니팟은 감시를 뒤집었다. 연구자들이 봇넷과 리플렉션 서버 내부에 들어가 공격 명령이 내려지는 순간을 기록했다.

멤버십 자체가 메커니즘이었다. 인터넷의 가장 큰 파이프를 운영하는 이들이 곧 부터의 부수적 피해자였기에, 측정과 동기, 증거가 같은 방 안에 있었다.

검사와 요원을 비공식 그룹에 포함시킨 것은 단서에서 합법적 적발까지의 거리를 Slack 메시지 하나로 줄였다.

비공식 실무 그룹은 기관을 능가할 수 있다. 센서를 가진 자원봉사자와 데이터를 가진 피해자에게 검사로 이어지는 직접 채널을 주면, 사건 파이프라인은 스스로 구축된다.

2023년 5월까지 Big Pipes는 5년 동안 세 차례의 대규모 적발을 만들어냈다. 2018년의 체포, Operation Power Off의 체포 6명과 49개 사이트 적발, 그리고 그해 5월 발표된 13개 서비스 작전이다. 그룹은 여전히 온라인에 남은 부터들을 추적하고 있었다. 작전은 가속화되는 것으로 보였다.