我见过太多花哨的恶意代码。有的用机器学习躲避沙箱，有的把自己拆成几千个碎片藏在SSD的保留区。暴风一号不一样。它像一把生锈的扳手，粗暴地拧松工业系统里最基础的逻辑。你问它怎么绕过防火墙？它根本不绕。它通过某款国产组态软件的旧版驱动进去，那个驱动连基本的内存校验都没有——漏洞公开在CVE上三年了，没人修补。

最讽刺的是它的传播方式。感染暴风一号的机器，会主动向同网段的其他设备发送“固件升级”广播包。包里附带的数字签名是伪造的，但用的证书链居然来自一家已经倒闭的台湾芯片厂。那家厂子2019年就注销了，可它的根证书还躺在无数工控设备的信任列表里。你说这是疏忽？我倒觉得像是有人故意留着这道后门，等着哪天用上。

代码里藏着一句注释，用繁体中文写着：“台风来了，窗户要关好。”看起来像开发者的随手涂鸦。可如果你把十六进制转成ASCII再倒序读，会发现另一句话：“但门锁是坏的。”这让我想起某个安全研究员说过的话：工业系统的脆弱性，从来不在技术层面，而在那些“反正没人会攻击我们”的想当然里。

暴风一号目前没有已知的传播源头。有人怀疑是某个不满的离职工程师，有人说是境外组织的预演。我倾向于后者——因为它对目标系统的熟悉程度，不像外部渗透能达到的。它知道每台设备的默认口令，知道哪条总线会在凌晨四点出现数据拥堵。这种精准度，需要至少六个月的实地观察。

现在，我电脑里的样本已经被沙箱隔离了。但每次看到工厂烟囱冒烟，我都会想起那串代码。它不声不响，藏在最普通的工业流程里，等着某个倒霉蛋按下“确认更新”。你问我怕不怕？怕。但更让我不安的是，我们连它到底感染了多少设备都不知道——因为大多数工控系统，根本没有日志审计这回事。