灰鼠失聯不到二十四小時，暗網上就有人把他的坑佔了。
不是一個，是一個ID叫“製藥師”的賣家。他同時在幾個暗網論壇掛了廣告帖，標題短得像黑市選單——“免殺加密器，最新版，過主流殺軟百分百。支援定製，三天交付。”
葉諍在暗鏈觀測者上掃了一眼帖子的後設資料。發帖IP套了四層代理，但追到最後一跳，他看到了一個熟悉的引數——樣本下載連結繫結的DNS，和灰鼠那三臺還沒嚥氣的伺服器用的是同一組配置。
灰鼠跑了。他的基礎設施被人撿起來接著用，像換個司機開同一輛車。
葉諍用“資料獵手”的身份給製藥師發了條私信，語氣故意裝得毛躁，像個剛摸到門道的指令碼小子。
“哥們，加密器怎麼賣？我要過360和火絨，最好能順便過Windows Defender。上次買那個被秒了，虧得肉疼。”
製藥師回得很快。這種人喜歡跟菜鳥做生意——菜鳥不問技術細節，不磨價，付錢也痛快。
“基礎版0.08個BTC，過三十款主流殺軟。高階版0.3，加自解殼和反虛擬機器檢測。至尊版0.8，帶自簽名數字證書，微軟白名單都不殺你。”
“至尊版。先給個樣本我測一下。”
製藥師扔過來一個壓縮包，密碼是“phar2024”。葉諍在沙箱裡解了壓，裡面躺著一個不到兩兆的執行檔，圖示是個PDF縮圖，檔名寫著“市一院_體檢報告_2024.pdf.exe”。Windows預設隱藏副檔名，使用者看到的只是一個PDF，後面綴著的.exe根本不會顯示。
葉諍在隔離沙箱裡雙擊了它。
沙箱是物理隔離的，不聯網，專門用來拆惡意軟體的封閉環境。樣本啟動之後乾的第一件事，是在沙箱的模擬檔案系統裡釋放了一份真實的PDF——不是空白頁，是一份排版工整的體檢報告，姓名、性別、年齡、檢查專案、異常指標標記，一應俱全。報告內容是偽造的，但格式跟真的一模一樣，連頁尾的醫院公章都是用向量圖渲染的。受害者開啟只會以為自己點開了體檢報告，完全不會察覺後臺有東西在跑。
第二件事，它檢測了執行環境。不到零點三秒，樣本掃完了沙箱裡的程序列表、記憶體大小、硬碟序列號，連CPU溫度都讀了一下。沙箱模擬不出真實的CPU溫度——物理晶片通電總會有熱量，樣本讀到的溫度是零，它立刻判斷出自己在沙箱裡。然後它做了一件葉諍沒料到的事：不自殺。它裝死。假裝什麼都沒發生，繼續保持休眠狀態，連惡意行為檢測器都讓它騙過去了。
“會裝死。”葉諍自言自語。
第三件事最讓他警覺。樣本在休眠狀態下用一種極隱蔽的方式掃描了沙箱裡所有PDF的檔案頭。它在找東西。葉諍查了匹配規則，發現樣本找的不是檔名，是PDF的建立時間戳——精確到秒。它要找某個特定時刻生成的PDF，一個時間指紋。
“不是通用病毒。”葉諍關掉沙箱，轉頭對周武說，“通用病毒不會在受害者機器上找特定時間戳。這是定向攻擊。他們的目標是知道某個檔案精確生成時間的人。”
“醫院裡的人？”
“或者是給醫院做資料歸檔的第三方。這種體檢報告的時間精度，只有原始生成機器才留得下來。”
他把樣本傳給技術小哥做深入分析，同時在AR介面調出系統的惡意程式碼分析模組。系統對樣本做了全量反編譯，不到三秒鐘就把加密器的殼一層一層全剝開了。
一層？不是。是七層。
俄羅斯套娃。最外層是PDF偽裝。第二層反沙箱檢測。第三層環境探測。第四層許可權提升——用了一個葉諍沒見過的漏洞。系統標出了漏洞編號，後面跟著說明：Windows字型渲染引擎的0day，影響範圍覆蓋Windows 10和11所有版本，微軟還沒發補丁。
0day。不是從漏洞市場淘的二手貨。是製藥師自己挖的，或者他背後的人挖的。
第五層是下載器，體積極小，只幹一件事：從指定URL拉取加密載荷。第六層解密器。第七層才是核心——不到六十KB的勒索模組。程式碼風格和葉諍之前在灰鼠伺服器上發現的輸液泵勒索病毒幾乎同源，但更精緻，更成熟。
灰鼠那個版本有缺陷，裝置會在加密過程中直接宕機。製藥師的版本把缺陷修了，加密邏輯改成漸進式——先把裝置部分功能降到“安全模式”，病人暫時不會有生命危險，同時彈出勒索提示，給醫院留出七十二小時的反應視窗。這個設計極其陰險：醫院不會被逼到立刻應急的牆角，但七十二小時的倒計時製造了一種緩慢收緊的心理窒息感——你還有時間，但不多，你必須在病人出事之前做決定。
“灰鼠那個是原型機。”葉諍說，“製藥師這個是量產版。同一個病毒，不同迭代。”
“有產品經理的那種迭代？”周武問。
“不止。有QA測試的那種。”
系統從第七層核心模組裡提取出了控制伺服器地址。不是IP，是域名。葉諍點開一看——解析目標讓他愣了一拍。
。九九塊四到折打，餐套醬梨鱷配卷米玉，價特日每著滾頁首，全俱應一面介付支卡用信、車購、單選，樣有模有得做面介。站網購訂上線的卷米玉哥西墨個一
。殼螺空隻一了進鑽蟹居寄像，裡統系賣外個一在嵌全——碼令指繳催自、錄記付支金贖、態狀加、表列者染。檯制控毒病的整完能功個一是去進登，板面理管個一著藏臺後站網但
”。站賣外個是的跑面上為以還在現到率機大商機主，商機主共家一城哥西墨在服伺，馬拿在商冊註名域“，頭搖了搖諍葉”。2C當站網卷米玉拿“
。母字的義意無串一稱名者用使，箱郵liG個是址地件收。鑰金解份備是，料資毒病份備是不。份備加送傳址地部外個一向自週每，務任時定個一了設檯制控在師藥製。錄記的怪奇條一到翻，翻下往誌日檯制控著順他
。了常正太卡費付預用產黑下地——麼什沒本索線條這。前年一是間時，店利便的市城某賓律菲在點地用啟，IS費付預賓律菲張一是的綁號機手復恢冊註的箱郵。析分聯關了做箱郵個這對統系讓諍葉
