笔趣阁

第616章 镜像世界的攻防博弈（第1页）

“o号实验体数据已回收。第二阶段准备启动。”

叶诤盯着这行字，手指悬在回车键上方，没有按下去。

第二阶段。这几个字像鱼刺一样卡在脑子里。第一阶段已经够清楚了——心脏起搏器程控仪被加密，七十二小时后又被人手动解锁。制药师从头到尾没图钱，他在测试精度。加密和解锁，一次完整的闭环实验。现在第一阶段结束，第二阶段要启动，而他连目标是什么都不知道。

但有一件事他可以确定。制药师还会回来。控制台还活着，感染者列表还在，恶意代码的残余没有清干净。基础设施只要还能用，制药师就舍不得丢。

“不删控制台。”叶诤说。

周武看了他一眼。“留着当饵？”

“对。但得改装一下。”

他让系统在控制台里植入了一层透明的反向追踪层。原理不复杂——任何人登录控制台，在验证身份的瞬间，就会触一个隐藏的浏览器指纹采集脚本，走的是css样式表注入，不是javascript。市面上绝大多数安全工具都会扫描js，但几乎没人去翻网页的css文件里是不是夹了私货。

脚本会在登录者的浏览器里渲染一个肉眼不可见的像素点，然后通过afont-face规则加载一套自定义字体。字体的每个字符对应不同的指纹特征——屏幕分辨率、显卡型号、已安装字体列表、甚至鼠标移动的加度曲线。这些特征拼在一起，就是一份独一无二的浏览器画像。

叶诤把这个方案叫“镜像蜜罐”。制药师以为自己在登录控制台，实际上每登一次，都在主动交出自己的设备底细。

设置完不到两小时，第一条鱼咬钩了。

不是制药师本人。一个测试账号，登录ip指向南亚，浏览器指纹显示是台预装盗版dudod的组装机，显卡驱动版本还停在三年前。大概是制药师团队里的外围成员，负责确认控制台还能不能正常访问。

叶诤没动。小虾米不值得收网。

第二条鱼在四十分钟后咬了钩。浏览器指纹完全不同——acpro，视网膜屏，ad定制显卡，系统语言西班牙语。登录者进控制台之后直奔感染者列表，停了大概三分钟，然后开始反复尝试删除“心脏起搏器程控仪”那条已解锁的记录。

“制药师。”叶诤盯着屏幕上的操作轨迹，“他现解锁记录还留在日志里。”

“能删掉吗？”

“删不掉。那条日志我已经锁了，删除指令会被自动转存到另一个隐藏目录。”

制药师连试三次，每次删完刷新页面，记录还在，像根钉子一样纹丝不动。他开始紧张了。控制台的消息系统里，他向所有团队成员了一条广播，西班牙语，系统翻译过来只有四个字：“有入侵痕迹。”

然后他断开了连接。

但已经晚了。就在他登录的那三分多钟里，css脚本已经采到了他的浏览器指纹。与此同时，叶诤走了另一条更隐蔽的通道——ntp时间同步。浏览器加载css时会向远程服务器起网络时间协议请求来校准时间戳，叶诤在他登录的瞬间故意制造了一个时间偏差，逼他的机器主动起ntp查询。不同地理位置的ntp服务器响应延迟不同，算这些延迟差，能把物理位置锁到城市级别。

结果出来了。布宜诺斯艾利斯。

阿根廷。不是墨西哥。玉米卷c服务器还挂在墨西哥城，但制药师本人不在那儿。他人住在阿根廷都一栋共享办公大楼里，ip指向一个工位。

“共享办公。”叶诤说，“没摄像头，不实名，付现金就能租。他选这种地方不是第一回。”

“通知当地警方？”

“还不行。浏览器指纹能证明是他用的那台机器，但他要咬死了说电脑借人了，案子就卡住。”

叶诤想了想，往更深处挖了一层。他把制药师的浏览器指纹和之前在灰鼠服务器上恢复的数据做了交叉比对。结果弹出一条之前被忽略的关联——制药师登录控制台用的那台ac，和灰鼠三个月前在暗网卖过的一批“定制安全笔记本”，硬件配置完全一致。那批笔记本的广告帖还躺在暗网存档里，技术参数列得清清楚楚，包括ac地址前六位——厂商代码。

制药师的ac地址厂商代码，和灰鼠卖的那批货，出自同一家台湾代工厂，同一个批次。

“灰鼠和制药师不是上下家。”叶诤说，“是同一个团队的。灰鼠管基础设施，制药师管病毒研。灰鼠跑路，制药师没跑——他不是跑路的那个，他是留下来执行第二阶段的那个人。”

话音刚落，技术小哥的早班消息弹了出来。

“叶哥，制药师的病毒样本分析完了，有个东西你得看。第七层核心里有一段代码不是勒索功能，是个独立模块，注释写的是‘irror_sync’。作用是把被感染设备的系统配置信息打包上传到外部服务器。”

这章没有结束，请点击下一页继续阅读！

“上传到哪？”

“一个github私有仓库，仓库名是随机字符串。我追了创建者的github账号——绑定的邮箱域名，是海市第一人民医院心内科的。”

叶诤的手指在键盘上顿了一下。

“医院邮箱？”

“对。但不是医院员工注册的，是有人在github注册时手动填了这个地址。github不验证邮箱也能用，所以这个地址可能压根不存在，就是随手敲的。”

“不是随手敲的。”叶诤说，“他在模仿医院内部的人。如果有一天这个仓库被查到，调查方向会直接指向医院内部。这是预先挖好的嫁祸通道。”

他让技术小哥把仓库内容全拖下来。数据量不大，不到两百兆，但每一份文件都让他的眉头拧紧一分。里面是被感染设备的系统配置快照——不是病历，不是病人隐私，是设备的底层参数。cpu负载、内存使用率、网络延迟、固件版本号，甚至包括设备主板的温度曲线。

这根本不是用来勒索的。勒索不需要主板温度曲线。

“他在收集医疗设备的运行状态。”叶诤说，“他想知道不同设备在不同环境下的实际运转数据。”

“目的呢？”

“更精确地控制。上次加密心脏起搏器的时候遇到了死机问题，灰鼠那个版本有缺陷。制药师把缺陷修了，但修复的前提是他得知道设备在什么条件下死机、什么条件下不死。这些快照就是他的实验数据。”