安全通道的门在闻晚身后合上。
她一边往楼下走，一边对电话那头的渡鸦说：“先别断线。把财务部那台终端的实时包留住，任何自动清除程序都停掉。通知闻氏技术值班组，只做外围限流，不许碰核心进程。”
渡鸦在键盘前快速回复：“明白。入口在财务共享中心第三组，设备编号FZ三一七。登录账号是普通审核员权限，今天上午九点四十六分连过一次外部报表平台。”
“供应商平台？”
“看起来像。证书是真的，外壳也是真的，里面夹了一个很细的回连模块。它没急着拿数据，先做环境探测，像是在找你的操作痕迹。”
闻晚脚步没有停。
医院一楼大厅人来人往。她从侧门出去，黑色轿车已经停在台阶下。司机拉开车门，闻晚坐进去，报了闻家庄园，又补了一句：“绕开主干道。”
司机应声启动车子。
车窗外，盛康医院很快被甩在后面。闻晚把平板打开，接入闻氏安全系统的只读应急端。屏幕上跳出一片异常外联记录。普通人看见只会觉得密密麻麻，她只扫了半分钟，已经看出对方的节奏。
不是粗暴入侵。
它像一枚被精心打磨过的钥匙，沿着财务流程里最不起眼的接口往里走。每一步都踩在权限边缘，不越线，不触发高危告警。它知道闻氏有行为基线，也知道闻氏近期扩大了财务、总裁办和外接供应商终端复查。
所以它绕得很慢。
慢到像正常业务。
闻晚看着那串调用链，忽然想起五年前厉氏系统里的旧后门。
那时的Y.x.还没有现在这样细。五年前的后门更像一条提前埋好的隐蔽通道，靠旧权限和弱审计维持。三个月前影链项目里的同源工具，已经开始学会伪装成业务请求。今天这一次，他把伪装做到了流程级。
他在进化。
手机里传来渡鸦的声音：“鸦姐，他用了三层延迟回连。第一层在境外报表节点，第二层套了云端中转，第三层还没亮。你要现在动手吗？”
“不急。”闻晚把平板合上，“我到庄园再接。闻泽衍那边通知了吗？”
“还没有。我等你指令。”
闻晚拨出另一个电话。
闻泽衍很快接起：“医院那边结束了？”
“闻氏财务部一台终端被打进来了。”
电话那头立刻安静下来。
闻晚继续说：“不是勒索，不是偷账。目标更像内部权限图和个人操作痕迹。你从管理层面做三件事。第一，财务共享中心暂停外接报表平台自动同步。第二，总裁办和财务部所有临时权限审批转人工。第三，对外只说系统例行维护，不要让人知道是攻击。”
闻泽衍语气沉稳：“范围多大？”
“目前只看到一台终端。真实范围要等我接入后确认。”
“我马上安排。你回庄园？”
“已经在路上。”
闻泽衍没有追问她会怎么处理。他见过闻晚接管闻氏安全系统时的样子。这个领域里，他只需要配合。
车子驶进闻家庄园时，阿正已经等在门口。闻晚下车，没有去主楼会客厅，直接上三楼书房。
书房的窗帘自动合上。双屏亮起。闻晚坐下，插入硬件密钥，指纹、虹膜、动态口令三重验证通过后，闻氏安全内核的应急面板展开。
渡鸦的头像在右下角亮起。
“鸦姐，我把实时流推给你了。”
“收到。”
闻晚切进财务部网络分区。她没有先看最醒目的告警，而是从最普通的dNS解析记录往回查。Y.x.最擅长把真正的动作藏在常规请求里。越是看起来正常的地方，越可能有问题。
第一分钟，她锁定异常证书链。
第三分钟，她从证书更新时间里发现伪造指纹。
第五分钟，她把财务共享中心第三组的八台终端拉出对照。
第七分钟，入口位置定了。
FZ三一七。
一台审核员终端。昨天晚上自动更新过报表插件。插件来自合规供应商，包名、签名、发布时间全部对得上。问题在压缩包最深处，一个只有十几Kb的辅助文件被替换了。它不是主程序，也不接触财务数据，只负责把终端环境信息拆成碎片，混进正常报表日志。
闻晚眼神冷下来。
“找到入口。供应商更新包被污染，不是闻氏内部人主动放行。”
渡鸦那边快速敲击：“我查供应商分发节点。”
“不用先查源头。现在隔离。”
闻晚的手指在键盘上移动。她没有拔掉那台终端的网络。直接拔断会惊动对方，也会毁掉回连路径。她把FZ三一七从真实财务分区平滑迁移到沙箱环境，又把原来的业务端口做成镜像回放。
同一时间，她给闻氏值班组下发内部指令。财务共享中心第三组所有员工原地离岗，终端保持开机，网线和电源都不许动。王总带人封存当天报表上传记录，供应商平台的登录凭证全部临时冻结。闻泽衍那边回了一个收到，五分钟内，财务部对外口径已经改成例行维护。
闻晚不喜欢混乱。越是紧急状态，越要让每个人只做自己该做的事。技术人员守边界，管理层稳现场，证据链留给后面追责。
从攻击者那边看，一切还在继续。
从闻氏内网看，那台终端已经被单独圈住。
第十二分钟，隔离完成。
闻晚把被污染的辅助文件完整截获，复制三份。第一份留证，第二份进入动态分析，第三份封进独立镜像。
渡鸦低声骂了一句：“他真敢来。这个模块和五年前厉氏那套骨架一样，壳子全换了。连编译习惯都变了，要不是你在，我可能得多花半小时。”
“他知道我们会拿五年前的样本比对。”闻晚看着模块运行轨迹，“所以他故意换了写法。底层调度习惯改不了。”
“要清吗？”
“不清。”闻晚说，“留镜像，反向追踪。”
这和五年前一样。
那时候她在厉氏系统里发现异常，没有第一时间清除，而是留了只读监测点。今天她也不会急着把门关上。对手既然把手伸进来，就该留下手腕上的线。
渡鸦开始接反向链路。
屏幕上，一个又一个中转地址被剥开。境外报表节点、云服务跳板、短租服务器、公共代理池。每一层都干净得过分，像提前准备好的空房间。
最后的回连地址停在一个境外VpN出口后面。
渡鸦沉默了两秒：“他比以前谨慎。这个VpN后面还有多层混淆，今天不一定能穿透。”
“给你四十八小时。”闻晚说，“我只要真实落点，不要中间假地址。”
渡鸦的声音稳下来：“这次我一定把他从VpN后面拽出来。”
闻晚没有接这句话。她把截获程序拖到代码窗口，逐段展开。
头部注释区很短。
开发者标记仍然是Y.x.。
她往下看。
下一行多了一句新的注释。
她应该记得我。
闻晚的手停在键盘上。
屏幕光映在她眼底。书房里所有设备仍在低声运行，沙箱里的伪造业务流按原节奏跳动。攻击已经被圈住，闻氏没有失控。
可那句话，像一枚被放进代码里的旧信物。
Y.x.不是只想攻击闻氏。
他在找她。
闻晚把那行注释复制进单独档案，又给文件加上时间戳。她没有把这句话转发给闻泽衍，也没有写进给闻氏值班组的简报。Y.x.如果有私人目的，这部分信息就不能进入普通安全报告。报告只需要写清攻击路径、隔离结果和待追踪地址。至于她应该记得谁，那是暗鸦需要处理的问题。
她一边往楼下走，一边对电话那头的渡鸦说：“先别断线。把财务部那台终端的实时包留住，任何自动清除程序都停掉。通知闻氏技术值班组，只做外围限流，不许碰核心进程。”
渡鸦在键盘前快速回复：“明白。入口在财务共享中心第三组，设备编号FZ三一七。登录账号是普通审核员权限，今天上午九点四十六分连过一次外部报表平台。”
“供应商平台？”
“看起来像。证书是真的，外壳也是真的，里面夹了一个很细的回连模块。它没急着拿数据，先做环境探测，像是在找你的操作痕迹。”
闻晚脚步没有停。
医院一楼大厅人来人往。她从侧门出去，黑色轿车已经停在台阶下。司机拉开车门，闻晚坐进去，报了闻家庄园，又补了一句：“绕开主干道。”
司机应声启动车子。
车窗外，盛康医院很快被甩在后面。闻晚把平板打开，接入闻氏安全系统的只读应急端。屏幕上跳出一片异常外联记录。普通人看见只会觉得密密麻麻，她只扫了半分钟，已经看出对方的节奏。
不是粗暴入侵。
它像一枚被精心打磨过的钥匙，沿着财务流程里最不起眼的接口往里走。每一步都踩在权限边缘，不越线，不触发高危告警。它知道闻氏有行为基线，也知道闻氏近期扩大了财务、总裁办和外接供应商终端复查。
所以它绕得很慢。
慢到像正常业务。
闻晚看着那串调用链，忽然想起五年前厉氏系统里的旧后门。
那时的Y.x.还没有现在这样细。五年前的后门更像一条提前埋好的隐蔽通道，靠旧权限和弱审计维持。三个月前影链项目里的同源工具，已经开始学会伪装成业务请求。今天这一次，他把伪装做到了流程级。
他在进化。
手机里传来渡鸦的声音：“鸦姐，他用了三层延迟回连。第一层在境外报表节点，第二层套了云端中转，第三层还没亮。你要现在动手吗？”
“不急。”闻晚把平板合上，“我到庄园再接。闻泽衍那边通知了吗？”
“还没有。我等你指令。”
闻晚拨出另一个电话。
闻泽衍很快接起：“医院那边结束了？”
“闻氏财务部一台终端被打进来了。”
电话那头立刻安静下来。
闻晚继续说：“不是勒索，不是偷账。目标更像内部权限图和个人操作痕迹。你从管理层面做三件事。第一，财务共享中心暂停外接报表平台自动同步。第二，总裁办和财务部所有临时权限审批转人工。第三，对外只说系统例行维护，不要让人知道是攻击。”
闻泽衍语气沉稳：“范围多大？”
“目前只看到一台终端。真实范围要等我接入后确认。”
“我马上安排。你回庄园？”
“已经在路上。”
闻泽衍没有追问她会怎么处理。他见过闻晚接管闻氏安全系统时的样子。这个领域里，他只需要配合。
车子驶进闻家庄园时，阿正已经等在门口。闻晚下车，没有去主楼会客厅，直接上三楼书房。
书房的窗帘自动合上。双屏亮起。闻晚坐下，插入硬件密钥，指纹、虹膜、动态口令三重验证通过后，闻氏安全内核的应急面板展开。
渡鸦的头像在右下角亮起。
“鸦姐，我把实时流推给你了。”
“收到。”
闻晚切进财务部网络分区。她没有先看最醒目的告警，而是从最普通的dNS解析记录往回查。Y.x.最擅长把真正的动作藏在常规请求里。越是看起来正常的地方，越可能有问题。
第一分钟，她锁定异常证书链。
第三分钟，她从证书更新时间里发现伪造指纹。
第五分钟，她把财务共享中心第三组的八台终端拉出对照。
第七分钟，入口位置定了。
FZ三一七。
一台审核员终端。昨天晚上自动更新过报表插件。插件来自合规供应商，包名、签名、发布时间全部对得上。问题在压缩包最深处，一个只有十几Kb的辅助文件被替换了。它不是主程序，也不接触财务数据，只负责把终端环境信息拆成碎片，混进正常报表日志。
闻晚眼神冷下来。
“找到入口。供应商更新包被污染，不是闻氏内部人主动放行。”
渡鸦那边快速敲击：“我查供应商分发节点。”
“不用先查源头。现在隔离。”
闻晚的手指在键盘上移动。她没有拔掉那台终端的网络。直接拔断会惊动对方，也会毁掉回连路径。她把FZ三一七从真实财务分区平滑迁移到沙箱环境，又把原来的业务端口做成镜像回放。
同一时间，她给闻氏值班组下发内部指令。财务共享中心第三组所有员工原地离岗，终端保持开机，网线和电源都不许动。王总带人封存当天报表上传记录，供应商平台的登录凭证全部临时冻结。闻泽衍那边回了一个收到，五分钟内，财务部对外口径已经改成例行维护。
闻晚不喜欢混乱。越是紧急状态，越要让每个人只做自己该做的事。技术人员守边界，管理层稳现场，证据链留给后面追责。
从攻击者那边看，一切还在继续。
从闻氏内网看，那台终端已经被单独圈住。
第十二分钟，隔离完成。
闻晚把被污染的辅助文件完整截获，复制三份。第一份留证，第二份进入动态分析，第三份封进独立镜像。
渡鸦低声骂了一句：“他真敢来。这个模块和五年前厉氏那套骨架一样，壳子全换了。连编译习惯都变了，要不是你在，我可能得多花半小时。”
“他知道我们会拿五年前的样本比对。”闻晚看着模块运行轨迹，“所以他故意换了写法。底层调度习惯改不了。”
“要清吗？”
“不清。”闻晚说，“留镜像，反向追踪。”
这和五年前一样。
那时候她在厉氏系统里发现异常，没有第一时间清除，而是留了只读监测点。今天她也不会急着把门关上。对手既然把手伸进来，就该留下手腕上的线。
渡鸦开始接反向链路。
屏幕上，一个又一个中转地址被剥开。境外报表节点、云服务跳板、短租服务器、公共代理池。每一层都干净得过分，像提前准备好的空房间。
最后的回连地址停在一个境外VpN出口后面。
渡鸦沉默了两秒：“他比以前谨慎。这个VpN后面还有多层混淆，今天不一定能穿透。”
“给你四十八小时。”闻晚说，“我只要真实落点，不要中间假地址。”
渡鸦的声音稳下来：“这次我一定把他从VpN后面拽出来。”
闻晚没有接这句话。她把截获程序拖到代码窗口，逐段展开。
头部注释区很短。
开发者标记仍然是Y.x.。
她往下看。
下一行多了一句新的注释。
她应该记得我。
闻晚的手停在键盘上。
屏幕光映在她眼底。书房里所有设备仍在低声运行，沙箱里的伪造业务流按原节奏跳动。攻击已经被圈住，闻氏没有失控。
可那句话，像一枚被放进代码里的旧信物。
Y.x.不是只想攻击闻氏。
他在找她。
闻晚把那行注释复制进单独档案，又给文件加上时间戳。她没有把这句话转发给闻泽衍，也没有写进给闻氏值班组的简报。Y.x.如果有私人目的，这部分信息就不能进入普通安全报告。报告只需要写清攻击路径、隔离结果和待追踪地址。至于她应该记得谁，那是暗鸦需要处理的问题。