话音刚落，技术小哥的早班消息弹了出来。

“叶哥，制药师的病毒样本分析完了，有个东西你得看。第七层核心里有一段代码不是勒索功能，是个独立模块，注释写的是‘mirror_sync’。作用是把被感染设备的系统配置信息打包上传到外部服务器。”

本小章还未完，请点击下一页继续阅读后面精彩内容！

“上传到哪？”

“一个GitHub私有仓库，仓库名是随机字符串。我追了创建者的GitHub账号——绑定的邮箱域名，是海市第一人民医院心内科的。”

叶诤的手指在键盘上顿了一下。

“医院邮箱？”

“对。但不是医院员工注册的，是有人在GitHub注册时手动填了这个地址。GitHub不验证邮箱也能用，所以这个地址可能压根不存在，就是随手敲的。”

“不是随手敲的。”叶诤说，“他在模仿医院内部的人。如果有一天这个仓库被查到，调查方向会直接指向医院内部。这是预先挖好的嫁祸通道。”

他让技术小哥把仓库内容全拖下来。数据量不大，不到两百兆，但每一份文件都让他的眉头拧紧一分。里面是被感染设备的系统配置快照——不是病历，不是病人隐私，是设备的底层参数。CPU负载、内存使用率、网络延迟、固件版本号，甚至包括设备主板的温度曲线。

这根本不是用来勒索的。勒索不需要主板温度曲线。

“他在收集医疗设备的运行状态。”叶诤说，“他想知道不同设备在不同环境下的实际运转数据。”

“目的呢？”

“更精确地控制。上次加密心脏起搏器的时候遇到了死机问题，灰鼠那个版本有缺陷。制药师把缺陷修了，但修复的前提是他得知道设备在什么条件下死机、什么条件下不死。这些快照就是他的实验数据。”

叶诤把仓库数据全部打包，连同制药师的浏览器指纹、NTP定位结果、病毒源码、控制台日志，一起压成了一个加密文件。总大小超过6TB。

然后他做了一件周武没料到的事。

他没有直接把这6TB发给警方。他先做了哈希运算，生成一个唯一的数字指纹——六十四位十六进制字符串。然后写了一份漏洞详细报告，里面没有任何原始数据，只有哈希指纹和技术描述。他把报告发给了国家互联网应急中心、海市网信办，以及三家全球排名前十的安全厂商。

报告末尾附了一句：“完整证据包已保存，哈希值如上。如需完整数据，四十八小时内可提供。以下补丁建议基于Windows字体渲染引擎0day漏洞，请尽快推送安全更新。”

“你只给了哈希？”周武问。

“哈希能证明证据存在且没被篡改，但它本身不含任何信息——只是一串数字指纹。我要等他们来找我，不是我把数据硬塞过去。他们主动来要，证据链条在法律上更站得住。”

“你信不过他们？”

“不是信不过，是程序。”叶诤说，“上一章的医疗勒索病毒如果直接打包扔过去，会被当成孤立事件处理。但我只给哈希，他们就得带着问题来找我，而不是带着结论来。”

四十分钟后，第一封回复到了。不是网信办，是一家安全厂商的应急响应团队。邮件简短：“哈希验证通过。请提供完整数据。我方已启动紧急补丁开发流程。”

然后第二封。第三封。天亮时三家厂商全回了，网信办的邮件也到了——语气官方，态度明确：请协助提供完整证据。

叶诤把数据分卷加密，走不同的传输链路分别发给了各机构。发完他靠在椅子上，闭了大概三分钟眼。

但没能歇成。

暗链观测者突然弹出一条最高优先级的警报——不是玉米卷C2，不是极地站地面站，是那个GitHub私有仓库的登录日志里，出现了一条新的访问记录。

一个IP刚刚登了仓库。不是下载，是上传。传了一个新文件，文件名：“phase2_target_list.csv”。