深海團隊的三臺伺服器停機之後，葉諍沒有立刻關掉監控。
他盯著螢幕上的日誌，一條一條往下翻。伺服器最後留下的記錄不是正常關機，是一連串越來越快的錯誤程式碼——賬戶欠費、API金鑰失效、資料庫連線超時、備份程序被強行中斷。三臺機器，分佈在三個不同的大洲，死亡症狀完全一樣。錢被抽乾，服務商自動切了電源。
但有一個東西沒死。
東南亞那臺伺服器的管理後臺裡，葉諍發現了一個還在跑的程式。不是主程序，是掛在角落裡的一個監控指令碼，用Perl寫的，邏輯很簡單：每三十秒往外部一個地址發一次心跳包，連續三次發不出去就自動刪庫。
問題是——心跳包沒發出去，刪庫指令也沒執行成功。指令碼在發到第二次心跳的時候，伺服器欠費停機了。程式碼卡在記憶體裡，程序沒退出，就那麼僵著，像一隻凍在冰層裡的蟲子。
葉諍把指令碼原始碼調出來看了一遍。寫得非常糙，註釋全是一堆拼音縮寫，但邏輯指向很明確——這不是深海自己寫的監控工具。這是一個叫“暗影聯盟”的團隊分發的標準配置包。腳本里硬編碼了一個SSH金鑰，用來給遠端管理員留後門。葉諍把金鑰提取出來，在系統裡做了指紋比對。
結果彈出來的時候，他愣了。
不是深海的。不是老狼的。甚至不是黑蜘蛛上任何一個商戶的。
金鑰的主人，ID叫“灰鼠”。系統從暗網歷史資料裡挖出來的資訊顯示，灰鼠最後一次活躍是去年年底，專做木馬更新伺服器的運維，手下管著至少四十臺機器，分佈在東亞、東南亞和中東。這些伺服器不幹DDoS，不做釣魚郵件，只做一件事——給已經植入受害者裝置的木馬推送更新包。
“等於給病毒發補丁。”葉諍對周武說。
周武眉頭皺了一下。“病毒還要更新？”
“要。防毒軟體一直在升級特徵庫，病毒不更新就會被認出來。”葉諍把SSH金鑰存進加密分割槽，“灰鼠的伺服器就是病毒的自動更新通道。他的客戶把木馬植進受害者裝置之後，木馬會自動連到灰鼠的伺服器下載最新變種。灰鼠的機器只要還跑著，那些木馬就全是活的。”
但現在灰鼠的伺服器也快死了。深海資金鍊斷裂，灰鼠作為深海的合作方，被同一個雲服務代理商牽連了。代理商發現深海的賬單炸了之後，怕自己也跟著沉船，直接把名下所有關聯客戶的機器全部暫停。
葉諍調出灰鼠那四十臺伺服器的管理後臺，只剩三臺還在喘氣。其餘的全被停了——不是因為被查到非法內容，而是因為沒人續費。最便宜那檔月租套餐，幾十塊錢，就這麼點錢，愣是沒人掏。
灰鼠失蹤了。郵箱三天前就開始退信，Telegra後一次上線是七十二小時前。暗網備用頻道里有人在打聽灰鼠的下落，沒人知道他在哪。
但那三臺還沒到期的伺服器，孤零零掛在網上，管理密碼沒改——大概是灰鼠跑路的時候太急，忘了。葉諍用那把SSH金鑰登進去，發現三臺機器都進了保護模式，大部分惡意程式碼和日誌已經被自動刪除了。檔案系統裡還剩一堆碎片化的殘留資料，像有人急著燒賬本，結果只燒了一半，灰燼裡還夾著沒燒完的紙角。
葉諍讓系統對殘留資料做了全量恢復。恢復出來的東西分成三塊。
第一塊是QQ群聊天記錄。不是灰鼠本人的，是他伺服器上託管的一個“客戶”上傳的。那客戶是境外殺豬盤運營團隊，用灰鼠的木馬更新通道來推送假冒投資APP。聊天記錄跨了三個月，內容全是催單——“今天KPI還差多少”“東南亞組已經破五十萬了你們他媽在幹嘛”“這個老頭子還能榨，再發一版新APP給他”。最後一頁，有人在群裡貼了一張截圖，截的是受害者銀行卡轉賬記錄，金額二十八萬，備註欄寫著“兒子結婚的錢”。
葉諍把這張截圖單獨存了，標紅。
第二塊是域名列表。灰鼠的伺服器上託管了至少二十七個賭博網站的DNS解析記錄，域名什麼花樣都有——有的偽裝成體育新聞，有的偽裝成財經分析，有的直接就叫“XX娛樂城”。每個域名背後都綁著一個資金池賬戶，葉諍把支付閘道器地址全提出來，在系統裡跑了一遍關聯分析。結果顯示，二十七個資金池三個月累計進出金額摺合人民幣超過八億，其中百分之四十流向了一個共同的錢包地址——那個地址的加密簽名格式，和教授用過的那套橢圓曲線引數一模一樣。
不是同一個人在用。但用的是同一個演算法庫。像一個犯罪團伙，每個人手裡的槍不是一個型號，但子彈全從同一個工廠出來。
第三塊資料最小，卻讓葉諍沉默了最久。
一段不到三百行的程式碼片段，Go語言寫的。功能是掃描目標裝置的硬體資訊，如果識別出裝置型別是“輸液泵控制器”或“心臟起搏器程控儀”，就自動載入勒索模組，對裝置韌體進行加密，然後在螢幕上彈一行字：“支付0.5 BTC解鎖裝置。72小時內不支付，裝置永久鎖定。”
針對醫療裝置的勒索病毒。不是攻擊醫院伺服器，不是偷病歷資料，是直接攻擊正在病人身上運轉的裝置。
葉諍把這段程式碼在沙箱裡跑了一遍。加密模組有幾個明顯缺陷——對輸液泵韌體版本識別不夠準，會導致部分裝置在加密過程中直接宕機而不是彈出勒索提示。但程式碼裡有一行註釋，說明開發者完全知道這個缺陷。註釋是英文寫的，翻譯過來是：“鎖死不重要，重要的是他們會付錢。醫院賭不起。”
葉諍關掉沙箱，靠在椅背上。周武看了他一眼，沒問話，從葉諍的表情裡已經讀出了這段程式碼的分量。
這時，葉諍注意到一條被恢復出來的運維日誌。記錄了一次SSH登入，一個月前，凌晨三點，登入IP指向一個Tor出口節點。登入者用的是灰鼠的預設賬號，但操作指令非常生疏——密碼輸錯兩次，第三次才進去，然後敲的第一條命令是“ls -la”。這是剛摸到Linux命令列的菜鳥才會乾的事。
不是灰鼠本人。有人用灰鼠的賬號從暗網登了這臺伺服器。日誌顯示這人在伺服器上待了大概四十分鐘，逛了幾個目錄，下載了一個壓縮包，然後斷開。壓縮包的內容系統恢復不出來了——下載之後就刪了——但檔名留在了日誌裡：暗影聯盟_木馬更新伺服器_部署手冊_v3.7.pdf。
”。商應供是能可也。家上的鼠灰“，遍一了複重諍葉”。盟聯影暗“
：前天三是間時送傳，名簽DI有沒，點節名知不個一自來，息訊加的短極條一，條四第。年一那災火室驗實授教海嚴是好恰。前年三是間時出釋。務業有所停暫佈宣，告公出釋上網暗在盟聯影暗——怪奇最條三第。過理加被DI家買，”庫韌置裝療醫“售出家賣為作盟聯影暗，錄記介中易料資份一，條二第。箱郵加的棄廢就次一過用個一是式方絡聯，”師程工的驗經向逆置裝式嵌有“找，聘招則一的前年兩壇論網暗個某，條一第。條四有只。憐可得果結的回返，尋搜量全網暗了做詞鍵關個這”盟聯影暗“對統系
”。錄記者測觀。算清始開產資留殘盟聯影暗。聯失鼠灰“
