Big Pipes: os detetives voluntários cujos honeypots derrubaram sites de DDoS-for-hire

O Big Pipes começou na conferência Slam Spam, em Pittsburgh, em 2014, quando a pesquisadora de segurança Allison Nixon, então na Deloitte, propôs uma colaboração ao agente do FBI Elliot Peterson, recém-saído da derrubada do botnet Game Over Zeus. O alvo deles: serviços de "booter" ou "stresser" que vendem ataques de negação de serviço distribuída por assinatura — muitas vezes cerca de US$ 20 por múltiplos ataques —, permitindo que gamers e desafetos inundem as conexões dos rivais com tráfego inútil.

O grupo que se formou — cerca de 30 membros no Slack e em chamadas semanais, vindos de grandes provedores de nuvem, empresas de jogos, academia e alguns agentes e promotores do FBI — tirou seu nome da piada "big pipes start fights". Nixon e Clayton construíram redes de sensores — honeypots que se juntavam aos botnets dos hackers ou se passavam por servidores de reflexão para registrar comandos de ataque —, enquanto membros da indústria contribuíam com anos de conhecimento em primeira mão como vítimas e defensores, e voluntários desmascaravam operadores a partir de suas próprias postagens em fóruns e sites de anúncios.

O fluxo funcionou: uma operação em dezembro de 2018 prendeu três hackers e tirou do ar uma dúzia de serviços de booter; a Operação Power Off, em dezembro de 2022, levou a seis prisões e à derrubada de nada menos que 49 sites de DDoS-for-hire — a maior apreensão do tipo; e em maio de 2023 o FBI anunciou a derrubada de mais 13 serviços de ciberataque-for-hire — todas as três operações originadas dentro do grupo. O alerta de Clayton aos sobreviventes: se você não foi apreendido desta vez, pode concluir que suas chances de investigação acabaram de aumentar — "talvez você não queira esperar para ver o que acontece".

Combinar honeypots que se juntam a botnets e se passam por servidores de reflexão com os maiores operadores de infraestrutura, transformando a medição de ataques em evidência para processo.

Os honeypots inverteram a vigilância: os pesquisadores ficavam dentro dos botnets e servidores de reflexão, registrando os comandos de ataque no momento em que eram emitidos.

A própria composição do grupo era o mecanismo — os operadores dos maiores canos da internet eram também vítimas colaterais dos booters, de modo que medição, motivação e evidência estavam na mesma sala.

Incorporar promotores e agentes a um grupo informal reduziu a distância entre uma pista e uma derrubada legal a uma mensagem no Slack.

Um grupo de trabalho informal pode superar instituições: dê a voluntários com sensores e a vítimas com dados um canal direto para promotores, e o fluxo de casos se constrói sozinho.

Em maio de 2023, o Big Pipes havia semeado três grandes derrubadas em cinco anos — as prisões de 2018, as seis prisões e 49 sites apreendidos da Operação Power Off, e a operação de 13 serviços anunciada naquele maio —, com o grupo ainda rastreando os booters que permaneciam online. As operações pareciam estar se acelerando.