转载

黑客军团[MR.ROBOT]第二季第一集：影片的IP地址包含彩蛋

在黑客军团第二季第一集的结束片段，有一个场景：Darlene生成了一个带有改良SET工具集的勒索软件，看到192.251.68.254这个IP地址，我就开始手痒了，这个IP似乎是勒索软件的C2服务器地址。WHOIS一个这个IP，发现它解析到了NBC-环球（美国的一家大型媒体集团），让我们一起来看看这个兔子洞隐藏了多深。

访问最后一个网页 http://i239.bxjyb2jvda.net ，会显示一条消息“你的私从文件被加密了”，你需要等24小时才能解密，当然也可以直接修改一下它的javascript代码将计时器关掉，在这里面，你会发现一段base64编码过的字符串：

PGRpdiBjbGFzcz0ib3ZlciI+PGRpdj4iSSBzaW5jZXJlbHkgYmVsaWV2ZSB0aGF0IGJhbmtpbmcgZXN0YWJsaXNobWVudHMgYXJlIG1vcmUgZGFuZ2Vyb3VzIHRoYW4gc3RhbmRpbmcgYXJtaWVzLCBhbmQgdGhhdCB0aGUgcHJpbmNpcGxlIG9mIHNwZW5kaW5nIG1vbmV5IHRvIGJlIHBhaWQgYnkgcG9zdGVyaXR5LCB1bmRlciB0aGUgbmFtZSBvZiBmdW5kaW5nLCBpcyBidXQgc3dpbmRsaW5nIGZ1dHVyaXR5IG9uIGEgbGFyZ2Ugc2NhbGUuIjwvZGl2PjxkaXYgY2xhc3M9ImF1dGhvciI+LSBUaG9tYXMgSmVmZmVyc29uPC9zcGFuPjwvZGl2PjwvZGl2Pg==

将其解码，可得到如下内容：

I sincerely believe that banking establishments are more dangerous than standing armies, and that the principle of spending money to be paid by posterity, under the name of funding, is but swindling futurity on a large scale.

– Thomas Jefferson

“ 我真诚地相信，银行制度比常备军队更加危险，而以基金的名义去花费子孙后代的钱，只不过是大额骗取未来的一个借口。

– Thomas Jefferson ”

通过查看该web服务器的SSL证书，我在Subject Alternative Names发现了其它大量与《黑客军团》相关的域名。

DNS Name=www.racksure.com

DNS Name=racksure.com

DNS Name=*.serverfarm.evil-corp-usa.com

DNS Name=www.e-corp-usa.com

DNS Name=iammrrobot.com

DNS Name=www.conficturaindustries.com

DNS Name=www.iammrrobot.com

DNS Name=*.seeso.com