注册表键值被恢复出来时，时间戳卡得很死。

龙口前夜，凌晨一点五十七分，李维办公电脑曾经发起过一次高权限远程桌面连接。连接持续十八分二十四秒，断开时间是凌晨两点十五分之后。

小马把记录投到内网屏幕上：“这不是网页访问，也不是普通接口测试，是RDP远程桌面。连接账户被抹了，但缓存里残留了目标地址。”

叶秋立刻问：“目标在哪？”

“正在穿透。”小马调出IP比对库，又接入软件园现场截获的网段清单，“地址经过一层跳转，但最终落点很熟。”

屏幕上两组数字并排出现。

一组来自李维电脑RDP残留。

一组来自软件园三号楼盛衡临时机房。

最后三段完全一致。

老钱脸色沉下来：“也就是说，李维坐在省平台办公室，直接连到盛衡那边？”

“至少这台电脑连过。”小马补了一句，“而且连接时间正好覆盖龙口前夜的关键窗口。”

叶秋拿起笔，在时间线上标注：“一点五十七分连接，二点十五分三站虚假承接，二点十五分后断开。中间十八分钟，足够完成参数核对、截图生成和触发BRG-L2。”

林风看着时间线，声音很稳：“再查连接前后，他电脑上有没有本地文件打开记录。”

小马切换日志：“连接前五分钟，他打开过bridge_param.xlsx，连接后两分钟，本地生成过一张截图缓存，文件名就是刚才恢复出的v42_auth_view.png。”

叶秋冷笑：“他要再说自己只是看参数，就让他解释远程桌面为什么会生成六三一截图。”

平台技术处那名工程师站在旁边，脸已经白了。他忍不住低声道：“按规定，复核岗电脑不能直连外部远程桌面，这个端口应该是封死的。”

小马抬眼看他：“谁能开？”

工程师犹豫了一下：“普通员工肯定不行。要么走安全例外申请，要么有人在网关上临时放行。”

“网关例外记录。”林风转头看向谭建民，“让平台立刻提供。提供不了，就封网关日志。”

谭建民马上拨通赵主任电话，语气不再客气：“赵主任，专案组现在调取龙口前夜网关例外记录，限定十五分钟内送到临时控制室。别让下面再找技术理由拖。”

电话那头不知道说了什么，谭建民脸色更冷：“涉案时间段、涉案终端、涉案端口，三项都清楚。再说查不到，我就按隐匿日志处理。”

他挂断电话，对林风点头：“我盯着他们。”

小马继续分析RDP缓存，忽然又调出一段屏幕分辨率和剪贴板记录。

“有意思。”他说，“李维连接软件园之后，剪贴板同步过一串字段。”

叶秋靠近：“什么字段？”

小马把十六进制转成文本，屏幕上跳出一行残缺字符串：

631-auth-view / BRG-L2 / HQ_confirm=false

老钱皱眉：“最后那个false什么意思？”

“当时HQ还没确认。”小马说，“也就是说，李维先把六三一授权界面和BRG-L2参数传给软件园，软件园那边等HQ确认。等确认完成，才会回传给下游站点。”

林风眼神一动：“这就把分工分出来了。李维负责前台截图和参数，软件园负责方案包和外部同步，HQ节点负责平台内部盖章。”

叶秋接上：“而HQ节点对应八楼小主机，背后可能是李副主任、许仲平，或者他们上面的授权管理处。”

林风没有立刻定名字：“先拿物证。人名让证据自己推出来。”

这时，审讯室外的取证员送来李维硬壳箱的初步开箱记录。箱内两块移动硬盘、一台小型工控机、一个动态令牌发生器，以及三份塑封纸质材料。开箱全程录像，钥匙由李维随身物品袋取出，开封前后拍照无误。

小马翻到工控机照片，眼皮一跳：“这型号和八楼小主机同系列，只是外壳不同。”

叶秋立刻问：“能不能互相复制配置？”

“可以。”小马道，“如果八楼那台是在线节点，箱子里这台可能是备用镜像，或者撤离时准备带走的替代设备。”

林风看向老钱：“箱子是谁交给李维的？”

“王强库房。”老钱道，“但仓库监控被剪了半小时，王强下地铁后还没抓到。外勤正在地下商场逐层排。”

林风沉吟片刻，转向叶秋：“继续审李维。先用RDP残留，不提八楼小主机进度。让他以为我们还在围着他电脑打，逼他自己把‘排查测试’的借口说完整。”

叶秋明白他的意思。

一个人准备好的谎言，只有说完整，才有漏洞可抓。

她拿起RDP报告，推门走回审讯室。

李维坐在椅子上，脸色比刚才更灰。他见叶秋进来，先看她手里的纸，又迅速移开视线。

叶秋把报告投到审讯屏幕上，指着那串软件园IP：“你不是说只给盛衡看过接口参数吗？解释一下，为什么你的办公电脑在龙口前夜直连盛衡临时机房。”

李维盯着屏幕，喉咙发出一声干涩的吞咽。