第173章 首批异常标记
清晨六点半，瑞科集团园区还没有完全苏醒。
主楼地下机房通风系统持续运转，一排排服务器指示灯明暗交替。rc‑stat‑backend进程依旧潜藏在系统后台，CPU占用维持在百分之二上下，没有产生任何额外告警日志，和一堆原生统计进程混杂在一起，普通运维工具扫过，分辨不出差别。
昨天夜里完成版本上线之后，机房值班人员做过一轮简单业务巡检，只核对财务报表生成、定时对账任务是否正常跑完。后台进程列表只是粗略扫过一遍，没有逐条溯源每一个进程的来源，探针安稳留存。
陈氏科技风控隔间，窗帘没有完全拉开。值班人员小周熬完通宵，面前摆着半杯已经放凉的矿泉水。物理隔离的离线存储阵列屏幕，数据流曲线平摊在底部，还没有收到任何来自瑞科生产环境回传的真实交易数据包。
小周每隔几分钟，手动刷新一次接收监控面板。三层中转链路状态全部显示绿色连通，等待触发信号。
肖宇和老韩前半夜完成机房部署，后半夜回到公司工位，趴在办公沙发短暂休息，早上七点多陆续醒过来。两个人洗漱完毕，重新坐回风控隔间。
“夜里有没有触发记录。”肖宇看向屏幕。
“一条真实业务数据包都没有。只有昨天我们自己构造的那一条模拟测试数据。”小周手指点在屏幕曲线上，“探针已经部署就位，但瑞科这边没有出现满足两条及以上筛选规则的交易。”
老韩拉过椅子坐下，点开本地保存的部署复盘文档。
“也正常。今天是工作日第一天，周瑞安手上剩下的特殊审批白名单通道，他不会随便动用。周瑞安已经收到消息，鼎信、恒创两家子公司，今天上午内审团队就要进驻现场。这个节点，但凡脑子清醒，都会收敛大额异常付款动作。”
肖宇拖动鼠标，打开当时写进脚本内部的筛选条件文档。
第一条，交易对手是新注册成立，注册时间小于十二个月的小微企业。
第二条，交易名目为咨询服务费、技术运维、项目配套服务，但是缺少对应的项目立项编号。
第三条，单笔金额超过五百万，审批流程跳过两层常规复核，直接走特殊通道终审。
第四条，付款完成之后七十二小时之内，对手账户出现多笔分散拆分转账，流向数十个不同自然人个人账户。
第五条，交易发生时间集中在深夜、周末、法定节假日，也就是人工内审人员不在岗的时间段。
“必须同时命中两条规则才会抓取数据包。只命中一条，脚本直接跳过，不会回传任何东西。”肖宇说道，“周瑞安现在刻意收缩动作，不走特殊通道，不走新注册空壳公司，我们这套探针就抓不到东西。”
老韩指尖敲敲桌面。
“但他的窟窿摆在那里。鼎信、恒创要被内审扒账，子公司账外一堆缺口，总得想办法填。填窟窿就要资金流动，要么动用遗留白名单从集团往外拨钱，要么调动已经在外流转的资金做闭环。只要动手，就有概率撞上筛选条件。”
肖宇把风险备忘录调出来，页面顶端依旧是那行加粗文字：一旦被深度安全审计发现，直接放弃探针，不做任何抢救。
“后天就是安全部安排的全服务器深度巡检。留给我们的窗口，也就今天、明天两天。”肖宇语气放平，“后天白天人工逆向审计一开，这个进程很大概率会被揪出来。”
小周听到这句话，抬手把中转链路告警阈值重新校准一遍。
“链路这边我已经调到最高灵敏度。一旦数据包回传，会立刻弹出本地弹窗，同时生成加密简报推送给苏曼。就算瑞科那边直接掐断进程，已经抓取到的数据包，已经经过中转分片送出，不会被一并销毁。”
三个人把技术侧全部确认完毕，陈默推开隔间门走了进来。他手里拿着打印出来的纸质材料，是鼎信、恒创两家子公司今天内审进场的全套人员名单、内审工作范围。
“秦雪这边动作很快。八点半，内审团队的大巴车直接开往两家子公司办公地点。”陈默把纸张摊开放在桌面，“周瑞安派系已经提前给两家子公司财务打过招呼，部分纸质凭证做了临时调换。电子账套，做了一部分账期调整。”
老韩抬眼：“电子账套可以改流水记录？”
“可以改。”陈默点头，“但只能修改本地子公司账套。集团财务主库的交易原始记录，权限不够动不了。这也是我们这套探针的价值，我们拿的是集团主库原始交易包。子公司就算把本地账本改得天花乱坠，主库的回执、审批链信息抹不掉。”
肖宇接过名单扫了一遍。内审组里面有两名人员，履历标注，和周瑞安旧部存在工作交集。
“内审队伍里面不全是秦雪可以完全信任的人。现场查到的东西，有可能会提前泄露回周瑞安那边。”
“这个情况秦雪自己心里清楚。”陈默说道，“所以她安排了两组人，一组公开进场做纸面核查，另一组小队伍，私下对接银行，申请调取两家子公司全部对公、对私银行流水。银行调阅流水，周期会慢上一点，但拿到的记录做不了手脚。”
同一时间，市一院内科病房。
上午八点多，护士过来完成晨间查房。测血压、心率，再次重申医嘱，严禁长时间看屏幕、高强度思考推演。
监护仪滴滴作响。林泽半靠在床头，后背垫枕头，脸色依旧泛白。胃出血之后，吃的全部是流食。苏曼把早餐盒放到床头柜，拆开，里面是医院食堂熬的小米粥。
“陈默那边刚传过来简报。探针顺利部署完成，还没有触发任何真实交易。后天瑞科安全部做深度巡检，留给我们的时间窗口很短。”苏曼把手机拿过来，只展示简报文字，没有点开任何复杂数据表。
林泽小口喝着粥，听完之后，放下勺子。
“周瑞安知道内审今天进场。他不会在白天动用特殊通道往外做大额支出。”林泽说话节奏偏慢，身体还处在重度反噬之后的恢复期，“但是子公司账面缺口摆在面前。鼎信、恒创账外分散到几十张私人卡的钱，一部分被挪用消耗，账面对不上。现在有两个选择。第一，放任内审查爆，把全部锅甩给子公司基层财务人员；第二，走特殊通道打一笔资金过去，填平部分缺口，掩盖部分痕迹。”
苏曼坐在床边椅子上。
“直接打一大笔钱过去，动静太大，很容易暴露。”
“不一定是一笔大额。”林泽说道，“可以拆成多笔，每一笔卡在五百万门槛下面，规避第三条筛选条件。但是拆分之后，收款账户后续要继续分散打给一堆个人账户，第四条规则就有可能命中。只要命中两条，探针就会抓取数据包。”
苏曼在心里过一遍五条筛选条件。
“还有一个变数。周瑞安已经知道有未知东西被混进版本更新包，只是没有实据。他会不会干脆不动，这两天完全搁置资金操作，硬扛内审核查，把损失全部丢给子公司基层背锅？”
“有这个概率。”林泽回答，“所以探针不是必胜底牌，只是一张等待对手犯错的网。他选择硬扛，我们就抓不到新交易证据，只能依靠内审、银行调流水，去挖过去已经发生的旧账。”
谈话之间，苏曼手机弹出另一条消息，来自她的媒体同行。消息内容简短，鼎信、恒创的内审队伍，已经准时抵达子公司办公大楼，现场已经开始调取纸质凭证。
瑞科集团总部，周瑞安办公室。
早上八点四十五分。
窗帘拉开大半，室内光线充足。特助站在办公桌前方，逐条汇报刚刚收集来的现场情报。
“内审团队已经进驻鼎信、恒创。我们安插在子公司财务的人传来消息，部分纸质凭证已经完成替换。但是银行对公流水，子公司财务没有权限改动。秦雪另外单独递交申请，要求银行调取两年完整流水。银行那边受理申请，答复三到五个工作日才能够返回全部材料。”
周瑞安手指在桌面文件上划过，文件上面是鼎信恒创的简易资产负债表。一大片红色标记，代表账上对不上的缺口。
“纸质凭证能挡一阵，银行流水挡不住。”周瑞安开口，声音平稳，“不能指望全部抹干净，只能尽量压缩爆炸的规模。把一部分金额，通过合理项目名目消化掉，剩下的，推给已经离职的前财务主管。人已经离职，找不到人对质。”
特助记录要点。
“集团这边要不要调拨资金，补一部分缺口。一旦银行流水全部回来，缺口数字摆上台面，董事会会追问资金去向。”
周瑞安沉默片刻。
“特殊白名单通道，现在不能直接走大额。”周瑞安摇头，“陈氏科技刚做完财务系统版本更新。廖凯那边虽然查杀没有告警，但不能完全排除被动过手脚。后天安全部要做深度全量巡检。这个节点，动用特殊审批通道，风险太高。”
“那缺口放任不管？”
“不完全放任。”周瑞安抬眼，“不走集团直接对外付款。调动已经流出集团、存放在多层壳公司账户里面的存量资金，做内部闭环转账。资金不经过集团财务主库的特殊审批节点。从外面的壳公司，回转一部分资金进入鼎信、恒创对公账户，填平部分窟窿。”
特助反应过来。
“资金不经过瑞科集团财务主库，就不会经过rc‑stat‑backend探针监控的端口。那套探针抓取的是集团向外流出的交易，壳公司之间互相转账，不在监控范围内。”
“就是这个思路。”周瑞安说道，“把风险隔离在集团系统之外。集团主库不产生异常记录，就算后台藏了监控程序，也拿不到这笔回转资金的交易包。”
他继续往下安排。
“通知对接的壳公司操盘人，资金拆分多笔回转，每一笔控制在四百八十万以内。交易名目，全部写成项目回款、前期履约退款。走普通对公回款流程，不走咨询服务费、运维配套这类容易惹眼的名目。”
特助把指令完整记下。
“回转之后，鼎信恒创收到这笔回款，再去抹平分散在几十张私人银行卡的遗留窟窿。全部操作安排在今晚，下班之后业务低峰时段操作。避开白天内审人员盯着的工作时间。”
周瑞安顿了顿，补充一句。
“同时盯死后天的安全巡检。安全部全部新增进程逐条核对。不管陈氏科技埋了什么东西，后天白天，必须挖出来。”
“明白。”
特助收好笔记本，转身离开办公室。
办公室只剩下周瑞安一个人，他点开电脑，屏幕上打开的，是三年前林泽风控系统事故全套存档材料。鼠标光标，停留在当年那份事故责任认定报告。
另一边，秦雪办公室。
桌面上两台显示器，一边是董事会待审批文件，另一边，是内审现场实时同步过来的简报。
内审在鼎信已经发现几十份合同，合同对应的项目，没有实际落地验收记录。子公司财务给出解释，项目中途终止，但是款项已经拨付出去。解释听起来勉强说得通，但是缺少对应的终止协议、退款回执。
秦雪拿起座机，打给安全部负责人。
“后天深度巡检的准备进度怎么样。”
电话那头传来回复。
“人员、工具全部就位。后天上午九点启动，全服务器进程逐条核对，逆向分析所有非原生程序，排查异常网络回传行为。”
“重点关注财务系统服务器。”秦雪交代，“上一轮版本更新是陈氏科技做的，重点核对这次版本更新新增出来的全部后台进程。”
“已经记进任务清单。”
挂断电话，秦雪坐在椅子上。她心里清楚，运维版本更新窗口，是最容易夹带东西的时间点。但她手上没有任何证据，可以证实陈氏科技植入了额外程序。一切只是基于局势做出的预判。如果后天巡检真的挖出外来程序，她要当场做判断：是当做外部入侵事件上报董事会，还是另做处理。
和病房里面林泽的推演一致，两种可能性客观存在，没有标准答案。
时间走到中午。
鼎信、恒创内审现场，矛盾开始浮现。内审人员调取纸质凭证，不少合同附件、验收单据，存在复印痕迹，部分签名笔迹，出现明显出入。安插在现场的周瑞安派系人员，不停找借口拖延调取电子账套完整备份。
消息一层层往外传递，陈氏科技风控隔间，同步拿到现场简报。
“现场纸质凭证大量有问题，但是拿不到集团主库向外打钱的新交易记录。”肖宇看着屏幕，“周瑞安选择调用外部壳公司存量资金回转，不走集团主库往外付款。我们的探针，抓不到这一批回转交易。”
老韩皱起眉头。
“等于这一波填窟窿的操作，直接跳出我们监控范围。”
“不是完全无解。”陈默手指点在屏幕图纸上，“壳公司资金回转进入鼎信恒创对公账户，之后，子公司会再拆分资金打向几十张自然人私卡。这一部分付款，是从鼎信、恒创子公司财务端口发起。”
肖宇立刻翻看探针部署文档。
“我们当时部署rc‑stat‑backend，只接入集团总部财务端口，没有接入两家子公司独立财务系统。子公司独立端口发起交易，探针接收不到数据流。”
这是前期布局留下的客观短板。受限于运维权限，陈氏科技这一次版本更新，只能够接触集团总部财务服务器，鼎信、恒创两套子公司财务系统，不在本次运维项目范围之内，没有机会植入监控逻辑。
老韩向后靠在椅背上。
“周瑞安算准这一层。避开集团主库，用外部壳公司回转，再由子公司系统完成二次拆分。整套动作，全部绕开我们已经埋下的探针。”
病房，苏曼把这一层情况转述给林泽。
林泽听完，沉默一阵，太阳穴开始一阵阵发胀。他靠在床头，闭上眼睛，过了一会才重新开口。
“这是最有可能发生的应对方案。我们前期就预估过这种绕开监控的可能性。现在探针能做的，只是盯着集团主库。周瑞安只要忍住不从集团往外拨钱，探针就拿不到新证据。”
苏曼说道：“那我们这一次部署，等于落空？”
“不算完全落空。”林泽睁开眼睛，“只要周瑞安后续被逼，必须从集团财务主库向外输出大额资金，探针依旧生效。只是解决不了今晚壳公司回转，子公司拆分私卡这一波操作。”
就在这个时间点，陈氏科技风控隔间，接收监控面板上面，一条红色标记突然跳了出来。
刺耳的低音量弹窗提示音响起。
小周身体坐直。
“触发了！抓到数据包！”
肖宇、老韩、陈默全部凑到屏幕跟前。
离线存储阵列，已经收到经过三层中转分片回传的加密数据包。系统自动完成哈希校验，数据包完整没有损坏。脚本标记，这笔交易同时命中一号筛选条件、二号筛选条件。
“不是四百八十万拆分的那批回转资金。”肖宇快速解析元数据，“交易发起方，瑞科集团总部财务主库。收款方：汇达信息咨询有限公司。注册时间，八个月。交易名目：智慧乡村配套项目技术咨询服务费。立项编号字段为空。金额，七百二十万。审批链路，跳过两层常规复核，走特殊终审通道。”
老韩调出工商信息弹窗。
“汇达信息咨询，就是之前我们标记出来的空壳供应商之一。”
陈默盯着屏幕上面的审批人编号。
“审批人编号，归属周瑞安权限组。”
所有人都有点意外。周瑞安明明刚刚下达指令，尽量不去动用集团主库特殊通道，但是七百二十万这笔交易，偏偏就从集团主库走了出来。
肖宇快速翻看交易时间戳。
“交易发起时间，中午十二点十一分，午休时段。”
陈默立刻安排人员，去对接瑞科内部线人，查询这笔七百二十万付款的背景缘由。
几分钟，消息反馈回来。
汇达信息咨询的实际控制人，手上握着一份周瑞安的私下协议。这家空壳公司，替周瑞安对接外面部分公关、关系维护开销。今天中午，对方发来紧急催款。部分线下打点款项拖了很久，再不付款，对方要把部分聊天记录往外泄露。周瑞安权衡之后，冒风险，中午午休，趁大部分财务人员离岗，走特殊通道，放出七百二十万。
他以为午休时段，不会有人盯着集团实时交易。他把风险重心全部放在后天安全巡检，却忽略当下午休窗口，探针已经潜伏在系统内部。
脚本匹配规则：收款公司注册不满十二个月，交易名目为技术咨询服务费，无立项编号，同时命中两条规则。rc‑stat‑backend完整抓取全部原始数据包，时间戳、审批人编号、转账回执哈希，全部加密分片送出瑞科服务器。
“他想避开大动作填子公司窟窿，但是另一边的窟窿，逼得他不得不冒风险动用集团特殊通道。”陈默看着屏幕，“七百二十万，完整证据到手。”
老韩操作界面，把这份回传数据包，生成加密简报，自动推送出去。一份留存本地离线阵列，一份中转推送到苏曼的聊天账号。
市一院病房，苏曼手机再次震动。点开加密简报，简报简要写明：集团主库捕获一笔七百二十万异常交易，交易对象汇达信息咨询，命中两条筛选规则，原始数据包已经安全备份留存。
苏曼把简报递给林泽看。
林泽目光扫过屏幕上简短文字，太阳穴发胀的感觉还在持续。
“汇达的那一笔。公关打点的窟窿，逼得他铤而走险。”林泽语速缓慢，“这笔交易，是实打实从集团主库流出去的完整证据。但要记住，只有数据包，还不等于可以直接拿去公开举报。我们没有拿到汇达收到钱之后，继续二次拆分流向哪些个人账户的记录。”
“那部分，要等银行流水调阅。”苏曼说道。
“对。”林泽点头，“只证明钱打出去，还不够完整闭环。要拿到收款之后资金的下游流向，才能坐实整套利益输送链条。”
瑞科集团财务后台，这笔七百二十万交易已经走完全部流程，付款状态显示完成。集团服务器本地，保留完整交易记录。rc‑stat‑backend已经完成抓取，没有修改、没有拦截，交易流程完整跑完。
周瑞安的办公室，特助收到财务那边的反馈，七百二十万付款已经顺利办结。
“汇达那边的款项，已经打出去。”特助汇报，“中午午休操作，大部分财务人员不在工位，没有引起注意。”
周瑞安微微松了一口气。
“不要对外提起这笔付款。不要录入公开项目台账。”周瑞安叮嘱，“今晚壳公司对子公司的回转资金，按原定计划执行。后天安全巡检，盯紧每一个新增进程。”
他完全不知道，就在这笔七百二十万交易完成的同一瞬间，全套原始交易证据，已经悄悄离开了瑞科服务器，流到瑞科体系完全触碰不到的物理离线存储阵列之中。
陈氏科技风控隔间，屏幕上除了已经标记完成的七百二十万数据包，监控程序依旧保持待命状态。接收链路继续维持绿色。
“只抓到这一笔。”肖宇说道，“今晚还有机会。就看周瑞安之后，会不会被逼再动用集团特殊通道。后天上午，安全巡检就要启动。留给探针的存活时间，已经不多。”
老韩把七百二十万交易的全套元数据，整理归档，多重加密备份，多处离线介质分开保存。
“这笔是到手的实锤碎片，但只是碎片。”陈默说道，“下游流向没有拿到，不能过早抛出去。先封存，等待银行调回来的流水做交叉印证。”
病房之内，苏曼收起手机。
林泽闭上眼睛，靠在床头。刚刚看完简报，短暂动脑，头部胀痛的症状又加重几分。监护仪上面心率数值小幅抬升。
窗外城市车流声响，隔着玻璃窗隐约传进病房。
瑞科内部，鼎信、恒创内审还在现场拉扯博弈；周瑞安已经安排好夜间壳公司资金回转；后天安全部深度巡检倒计时开启；潜伏在瑞科服务器里面的rc‑stat‑backend进程，还在安静跑着，等待下一笔触发规则的交易。
没有人可以确定，探针还能不能活到明天。但至少现在，第一笔来自集团主库的异常交易证据，已经稳稳落在他们手上。
