第174章 巡检倒计时
下午两点十分，瑞科集团主楼，安全部办公区。
长条办公桌上摊开厚厚的巡检任务清单，安全部主管冯凯带着三名技术工程师，把后天深度巡检的工作项逐条梳理确认。桌面上摆着外接硬盘、逆向分析工具包、流量捕获设备，所有工具全部提前调试完毕。
“本次巡检优先级排序。第一，财务系统集群全部服务器，重点排查最近版本更新新增的后台进程、网络外联行为。第二，战略投资部业务服务器。第三，子公司鼎信、恒创上传汇总数据的对接网关。”冯凯手里握着打印版变更记录，纸张上面标记着陈氏科技本次财务系统版本更新的全部变更条目。
一名年轻工程师拿笔在清单上做标注。
“变更清单我们已经拿到，但是版本更新包里面附带的部分后台统计脚本，陈氏科技说是业务统计需要，不属于恶意程序。我们没有直接证据证明那些脚本存在问题。后天操作，只能够做行为逆向，看有没有未授权的数据回传。”
冯凯指尖敲了敲桌面。
“秦雪总特意交代，不能先入为主判定陈氏科技植入东西。全部以实际行为结果说话。如果进程只在本地运算、日志正常、没有向外分片传输敏感交易数据包，那就当做正常业务组件放行。一旦抓到隐秘外联、未经授权向外输出财务原始数据，直接隔离服务器，留存完整镜像，同步上报董事会。”
另一名工程师开口。
“周副总那边的特助刚刚过来，转达周副总的要求。后天巡检所有发现，无论大小异常，第一时间同步给他一份副本。”
冯凯停顿几秒。
“董事会给到我们的指令，巡检原始报告，只递交秦雪和董事会秘书处。周副总要副本，按照流程走书面申请。没有正式审批，我们不能私下递送巡检原始镜像和进程dump文件。”
“明白。”
几个人继续核对工具链，虚拟机环境搭建完成，用来沙箱运行抓取到的可疑程序，防止恶意程序逃逸污染生产环境。
同一时刻，陈氏科技风控隔间。
屏幕上七百二十万那条汇达信息咨询的交易记录依旧高亮置顶。其余监控曲线保持平缓，没有新的数据包回传。
老韩把几份离线存储介质挨个拔下来，做异地分离备份。固态硬盘、加密U盘，一共三份，分别锁进三个不同的保密保险柜。
“七百二十万的元数据、哈希值、分片数据包，三份介质分开存放。就算其中一份物理损坏或者失窃，另外两份还能完整保留证据。”老韩做完操作，把保险柜柜门扣死，转动密码锁。
肖宇盯着探针的远程心跳状态。rc‑stat‑backend每三十秒会发出一次极短的静默心跳包，用来确认进程还在服务器内存当中存活。心跳包经过加密混淆，混杂在服务器大量普通运维心跳报文里面，流量特征被抹平，普通流量审计很难识别。
“心跳还在，进程没有被杀。”肖宇盯着屏幕，“但是心跳只能证明进程还活着，不能确认脚本内部功能是否完整。周瑞安手下如果有人做内存扫描，有可能给进程打补丁，阉割掉数据抓取和回传模块，只保留空壳心跳。”
陈默站在一旁，手里拿着刚刚收到的内部线人消息。
“安全部那边准备工作已经全部落地。沙箱、镜像抓取工具、流量全量捕获，全部就位。冯凯没有私下向周瑞安泄露巡检细节，但是周瑞安通过他安插在安全部的人，可以拿到巡检准备进度。后天上午九点整准时开工。”
小周调出网络流量模拟面板。
“我这边模拟了几种最坏场景。第一种，巡检直接识别rc‑stat‑backend，进程当场终止，服务器内存镜像完整留存。这种情况下，已经回传出来的数据包不受影响，留在瑞科服务器本地尚未回传的数据会直接销毁。第二种，对方发现进程之后不直接杀掉，做内存篡改，让探针变成对方手里的诱饵，反向向外发送伪造交易数据包。第三种，什么都查不出来，探针顺利熬过后天巡检，继续留下来蹲后续交易。”
肖宇说道：“脚本内置有完整性校验逻辑。一旦内存里面核心代码段被篡改，探针会立刻自我销毁，不会向外输出任何伪造数据。这是部署之前就写死的自保逻辑，不会被反向利用。代价就是，如果遭到内存篡改，还没来得及回传的现场证据直接清零。”
老韩拉过椅子坐下，翻开另一张表格。
“现在最大的漏洞不在集团总部，是鼎信、恒创。今晚壳公司回款进入两家子公司对公账户，之后子公司财务系统拆分资金打给几十个自然人私卡。那部分数据流我们碰不到。我们拿不到子公司系统内部的交易原始包。只能寄希望于银行调流水。银行答复三到五个工作日出结果，时间完全卡在巡检之后。”
陈默点头。
“秦雪那边已经再三催促银行，但是对公历史流水调取，要走内部审批队列，人力有限，加快不了。现在只能等。今晚那批四百八十万以内的回转资金，名目全部是项目回款。不走集团主库，探针碰不到。”
“周瑞安这一步算计得很到位。”肖宇说道，“七百二十万那笔属于意外，是外部第三方催款逼出来的破绽。今晚填子公司窟窿的整套操作，他已经规避掉我们设置下的全部五条筛选条件。”
市一院内科病房。
下午三点，医生过来复查。测完血压、心率，翻看了一遍林泽的检查报告单。
“胃出血情况稳住，但是脑部神经应激反应还在。不能看手机、不能长时间思考，情绪不能波动。每次看电子屏幕不能超过十五分钟。再透支，很容易再次引发消化道出血。”医生说完，把注意事项交代给苏曼，转身离开病房。
病房窗户半开，外面城市车流噪音断断续续飘进来。
苏曼把手机调成暗色模式，屏幕亮度压到最低，只把关键文字部分展示给林泽，数据表、流水图表全部不打开。
“陈默刚传过来消息。安全部后天巡检全部工具准备完毕。rc‑stat‑backend心跳正常，七百二十万交易证据已经三份离线介质异地备份。今晚周瑞安计划执行壳公司对子公司回款，全部绕开集团主库，探针监控不到。”
林泽背靠床头垫着的枕头，脸色依旧苍白，小口喝了两口温水。
“壳公司回转资金进入鼎信、恒创对公账户，只是中间步骤。真正要命的环节，是子公司拿到回款之后拆分打向私人银行卡。那一步是用来填平之前账外窟窿。”林泽语速平缓，每说几句话就要短暂停顿，缓解头部胀痛，“那一批拆分付款，发生在子公司财务系统。我们没有探针，拿不到原始记录。”
苏曼说道：“那一批付款记录，会完完整整留在银行流水。只要银行流水回来，就可以看到资金从壳公司流入子公司，再分散流向数十个个人账户。”
“银行流水可以看到资金流向，但缺少内部审批链路。”林泽说道，“银行记录只能证明钱转出去，看不出这笔付款在企业内部是谁审批、是谁发起，缺少企业侧证据。两套证据要互相搭配。集团主库的数据包，有完整审批人编号、内部流程记录；银行流水负责资金下游链路。两者凑齐，证据链才算闭环。现在我们只有前者的碎片。”
苏曼手指在手机屏幕滑动。
“还有一个风险点。周瑞安今晚操作完资金回转之后，子公司财务会同步修改本地账套记录。把这一批回款，匹配到一些老旧终止项目下面。账面做平。等内审人员明天去核对子公司账本，账面看上去就合乎情理。内审光看纸质凭证和子公司本地账套，看不出问题。”
“这一点我想到了。”林泽说道，“所以秦雪才另外申请银行流水。账本可以改，银行的转账记录改不了。但时间差是问题。后天安全巡检，如果探针被销毁，在银行流水返回之前，我们就失去集团这边实时捕捉新交易的能力。”
监护仪屏幕上，心率数值小幅跳动。短暂的逻辑推演，头部胀痛感持续加重。林泽闭上眼睛，不再继续讨论，抬手示意苏曼收起手机。
瑞科集团，鼎信子公司办公楼层。
下午三点四十分，内审现场依旧僵持。
公开内审小组分成两组，一组翻阅纸质合同、验收单据、报销凭证；另一组反复和鼎信财务人员沟通，要求导出完整电子账套备份。
鼎信财务负责人找各种理由拖延。一会说存储服务器正在做磁盘快照，导出需要等待；一会说部分历史账套归档在磁带库，调取耗时。
会议室角落坐着两名内审人员，是周瑞安安插过来的人。表面配合核查，暗地里不停把内审每一步动作、调取了哪些文件，实时编辑消息发送回集团总部周瑞安特助。
大量复印版合同单据堆在会议桌上，不少验收单签字笔迹生硬。内审组里面一名经验丰富的老审计，拿着几份单据反复比对，已经看出签名存在异常，但是没有当场戳破。只是悄悄把有问题的单据编号全部记录在自己私人笔记本，没有在公开内审工作底稿上面标注。
消息很快传到周瑞安办公室。
特助站在办公桌前汇报现场动态。
“鼎信这边，内审拿电子账套持续受阻。我们安插的两个人反馈，内审有老同志已经察觉到纸质凭证有伪造痕迹，只是没有当众提出来。秦雪安排的另一组人员没有露面，直接对接银行走流水调阅流程，不在子公司现场。”
周瑞安坐在椅子上，指尖在桌面轻点。
“纸质凭证的破绽不重要。就算他们认出单据造假，没有对应的资金流水佐证，只能怀疑，坐不死事实。银行那边三到五个工作日才返回流水，这几天窗口足够我们把手上能做的补救全部做完。”
“汇达那边七百二十万已经到账。汇达的控制人刚刚回消息，催款的那部分私下打点款项已经结清，对方承诺不会向外泄露聊天记录。”特助继续汇报。
周瑞安听到这个信息，肩头紧绷的状态放松下来。中午冒险走特殊通道打出去的七百二十万，目的就是平息这一处外部威胁。风险已经付出，麻烦暂时压下。
“今晚壳公司回款操作，盯紧操盘人。”周瑞安说道，“二十一点整启动分批转账。每一笔四百七十万上下，不要触碰四百八十万红线。名目固定填写项目回款。全部打到鼎信、恒创对公账户。回款到位之后，两家子公司财务立刻启动拆分，把钱分发到几十张私人卡，填平之前的缺口。全部操作必须在凌晨一点之前结束。”
特助记下指令。
“子公司财务那边已经打过招呼，收到回款之后，立刻更新本地账套，匹配到几个早年终止的项目档案。明天内审再来核对账面，账面上资金进出全部有对应的项目名目。”
“还有。”周瑞安抬眼，“通知壳公司操盘人，转账完成之后，把壳公司内部操作日志做清理。不要彻底删除，做覆写处理。避免删除动作留下异常日志痕迹。”
“明白。”
“安全部后天巡检，我们安插的人会实时同步巡检进度。一旦他们定位到异常进程，第一时间通知我。”周瑞安语气沉下来，“不管陈氏科技埋了什么程序，后天必须清理干净。”
特助记录完毕，转身离开办公室。
办公室只剩下周瑞安一人。他点开电脑，打开汇达信息咨询有限公司的工商档案页面。页面上显示成立时间八个月，法人是一名和周瑞安没有任何公开关联的普通人。
七百二十万已经打出去。这笔交易走集团特殊审批通道，记录完完整整保存在集团财务主库。周瑞安心里认定，中午午休时段操作，现场没有活人盯着实时交易面板，不会留下隐患。他完全没有想到，数据包已经被偷偷截走送出瑞科体系。
他鼠标移动，点开鼎信、恒创的资产负债表，密密麻麻红色缺口已经标记出来。今晚这一批壳公司回转资金，只能填上缺口的一部分，不能全部抹平。剩下的窟窿，他已经想好后续方案，推给已经离职的前财务主管，拿离职人员当做背锅对象。
秦雪办公室。
下午四点，秦雪刚开完董事会线上短会。董事会内部依旧拉扯，周瑞安派系董事不停对全面清查提案进行阻挠。全面清查全部历史项目流水的提案，没有拿到足够票数通过，只能局限于鼎信、恒创两家子公司开展内审。
办公桌上手机弹出消息，来自银行对接的联系人。消息内容：两家子公司对公对私流水调阅申请已经受理，业务队列积压量大，最快三个工作日，最慢五个工作日返回电子版本。
秦雪看完消息，把内容记录到文档。
她拿起座机，拨通给陈默的加密通话。
“银行流水拿到还要等几天。今晚周瑞安大概率会安排壳公司资金回转进入鼎信恒创，之后子公司拆分资金流向私人账户。rc‑stat‑backend碰不到子公司端口，抓不到这部分交易。”
电话另一端陈默声音传来。
“我们清楚这个短板。探针只能监控集团总部向外流出。子公司系统不在运维更新范围，没有部署条件。现在只能寄希望两件事。第一，周瑞安后续还会因为别的危机，被迫动用集团主库特殊通道，探针可以继续捕获；第二，银行流水按时回来，拿银行流水做证据链的后半截。”
“后天安全巡检风险很高。”秦雪声音平稳，“冯凯带队，会完整逆向陈氏科技版本更新带来的所有新增进程。一旦rc‑stat‑backend被挖出，探针直接作废。到时候我们就失去集团端实时抓取能力。”
“脚本做过自保设计。一旦被篡改或者终止，已经外传出去的数据包不会丢失，只是还没回传的现场证据销毁。七百二十万那笔已经多重备份，不会消失。”陈默说道，“但那只是单一片段，缺少下游流向，不能单独用来做实完整利益输送链条。”
秦雪沉默片刻。
“如果后天巡检挖出rc‑stat‑backend，我会面临选择。上报董事会，定性外部入侵，陈氏科技会被推到对立面，我们这条技术取证链路直接断掉。压下不报，把进程悄悄处理掉，周瑞安那边很快就会察觉到不对劲，同样会打草惊蛇。两种选择都有代价。”
“林泽的意见是什么。”陈默问。
“他现在身体条件受限，不允许高强度推演。只给出结论：无论巡检结果是什么，七百二十万证据碎片必须牢牢封存，不能提前抛出去。等待银行流水交叉印证。”秦雪回答，“现在不能打草惊蛇。周瑞安还有不少后手。”
挂断电话，秦雪点开安全部提交过来的后天巡检详细方案。一页页往下翻阅。她清楚，后天上午九点，不只是服务器程序的巡检，也是自己的抉择时刻。
陈氏科技风控隔间。
时间来到下午五点半。
瑞科集团下班打卡提示音隔着网络传来，园区内部人员陆续离岗。
肖宇调出rc‑stat‑backend的心跳日志，三十秒一次的心跳报文依旧稳定传回标识。进程依旧驻留在瑞科财务服务器内存。没有被杀，没有被篡改。
小周做了一轮模拟压力测试。模拟安全部流量审计，模拟内存扫描，模拟进程枚举。
“模拟环境下，普通运维的常规巡检很难识别rc‑stat‑backend。但是后天安全部用逆向沙箱、全量流量捕获，深度逆向分析，它藏不住。”小周关掉模拟窗口，“存活窗口，剩余十六个小时左右。”
老韩打开内部即时通讯，对接埋在瑞科财务部门的线人。
“鼎信、恒创财务人员已经收到内部通知，今晚加班。等壳公司回款到账之后执行拆分转账。操作时间定在二十一点到凌晨一点之间。”
陈默看着屏幕上梳理出来的时间线。
“二十一点，壳公司回转资金进入鼎信恒创对公账户；之后子公司拆分打向私人银行卡；后天上午九点，安全部深度巡检启动。今晚一整夜，是我们唯一剩余的时间窗口。但是监控链路覆盖不到子公司端口。就算明知道对方要动手，我们技术层面拿不到现场交易数据包。”
肖宇手指敲击键盘，调出筛选条件文档反复浏览。
“只有一种情况探针还能抓到今晚的动作：周瑞安中途改变主意，不走外部壳公司回转，重新启用集团主库特殊白名单通道，直接从集团打钱去鼎信恒创。只要这笔交易命中两条筛选规则，探针就会抓取。但从目前所有情报来看，周瑞安已经刻意避开这条路。”
“不能赌对手犯错。”老韩说道，“七百二十万是意外漏洞，不能指望接二连三出现同类意外。我们要基于对手理性决策做预案。”
陈默把预案文档打开。
预案一：探针熬过后天巡检，继续存活，等待下一次集团主库异常交易触发。
预案二：巡检挖出rc‑stat‑backend，进程自毁。已回传证据全部封存，停止技术取证，全部等待银行流水与内审纸质证据。
预案三：进程遭内存篡改，触发自毁机制，未回传证据清零，维持现状。
三种预案，对应的后续行动路径逐条写清楚。
“现在没有最优解。”陈默说道，“每一条路都有缺失。”
病房。
晚饭时间，苏曼打开医院食堂打包的晚餐，依旧是流食。林泽慢慢进食。手机放在床头柜，没有拿起来。
病房门被轻轻推开，陈默赶过来探视。手里拎着简单的水果，没有带电脑，也没有携带存储设备。
“情况大致就是这样。”陈默拉过椅子坐在床边，压低声音，“今晚周瑞安执行壳公司回款填平子公司窟窿，我们碰不到。探针后天大概率过不了深度巡检。七百二十万证据碎片已经保住，但缺下游资金链路。”
林泽咀嚼完食物，吞咽下去，缓了一会开口。
“今晚子公司拆分打私人卡那批流水，会留下两种痕迹。第一种，银行完整流水；第二种，鼎信、恒创本地账套记录。账套记录他们会修改。银行流水改不了。风险点在于时间。银行流水要等三到五个工作日。如果在流水回来之前，周瑞安把接收资金的一批私人卡全部销户，资金继续多层二次转移，后续想要完整追踪资金链路，难度会成倍上涨。”
陈默眉头皱起。
“销户。这个可能性我们之前考虑过，但优先级放得不高。周瑞安会这么做吗。”
“有概率。”林泽说道，“一旦他察觉到有人在顺着银行流水追查，最快的销毁痕迹手段就是注销接收赃款的私人银行卡。钱转移到别的账户，旧卡流水虽然银行系统依旧留存，但是卡属于已销户个人账户，调阅权限门槛会抬升很高。”
苏曼坐在一旁。
“我们能不能把这个风险同步给到秦雪，让她提醒银行方面重点盯紧那一批疑似涉案私人账户，防止批量销户？”
“不行。”林泽轻轻摇头，“现在我们没有公开合法依据要求银行冻结或者监控个人账户。贸然传递消息，会暴露我们手上掌握情报的来源，会牵出rc‑stat‑backend探针。一旦探针线索泄露，全盘被动。只能提醒秦雪，银行流水申请尽量加急，流水拿到之后第一时间梳理个人账户名单。”
陈默点头记下。
“我回去把这个风险点更新进预案文档，同步给到秦雪。”
监护仪滴滴作响。林泽多说这一番话之后，头部胀痛明显加重，眼皮往下沉。
“我需要休息。”林泽说完，身体往床头靠下去，闭上眼睛。
陈默不再继续交谈，起身，对着苏曼比了一个手势，轻手轻脚离开病房。
瑞科集团大楼，楼层灯光一层一层熄灭。大部分员工下班离开。只有财务部门、鼎信恒创部分远程值守财务账号保持在线。安全部办公室灯光依旧亮着，几名工程师还在调试后天巡检要用的工具。
周瑞安办公室灯光依旧亮着。他没有离开公司。桌面上摆着手机，等待壳公司操盘人二十一点操作的反馈消息。
陈氏科技风控隔间灯火通明。肖宇、老韩、小周三个人留在工位值守。屏幕上rc‑stat‑backend心跳信号每三十秒跳动一次，绿色标识稳定显示。接收面板数据流曲线依旧贴在底部，没有新的红色告警标记弹出。
窗外城市夜色铺开。
今晚，周瑞安要完成子公司窟窿的补救操作。
后天上午九点，深度巡检准时启动，潜伏在瑞科服务器里的探针，即将迎来生死大考。
已经到手的七百二十万只是一块孤立证据碎片，完整证据链的后半截，还悬在银行尚未返回的流水文件之上。
所有人都在等待夜晚到来，也在等待不可预知的明天。
