李薇的手指在键盘上停了三秒，屏幕蓝光映在她眼角的细纹上。她刚把“源头痕迹_v1”文件里的三个境外IP导入追踪系统，界面立刻弹出警告：连接请求已被重定向至非活跃节点。
这不是普通的防火墙。
她调出后台日志，发现每次探测都会触发一组相同的伪装响应包——像是有人提前设好了陷阱，专等外来的探针撞上去。她换了两台匿名服务器重新发起握手，结果一样。第三次，她在数据包末尾嵌入一段物业会议录音的哈希值，那是陈默给她的原始音频切片，只有七秒钟，内容是赵德海的人提到“模型接入区级平台”的语音片段。
这一次，系统卡顿了0.8秒。
足够了。
她立刻截取流量镜像，交给小刘。后者正坐在自己出租屋的折叠桌前，电脑连着一个改装过的信号嗅探器。他没用常规工具，而是写了个极简脚本，模拟老年用户缓慢点击网页的行为模式。这类流量在暗网中往往被判定为低威胁，容易绕过行为分析模块。
凌晨一点十七分，脚本捕获到一次真实握手包。
小刘屏住呼吸，逐行解析加密头。他看出这个平台采用多层权限结构，普通入口只能看到表层交易记录，真正的数据流转藏在第二层节点之后。他试着注入一个轻量监听模块，刚完成部署，电脑突然黑屏。
五秒后重启，桌面图标全部错位，浏览器历史被清空。
他立刻拔掉网线，从抽屉里取出离线硬盘，将事发前十分钟的日志完整还原进沙箱环境。对比发现，就在监听模块激活的瞬间，系统反向推送了一个伪装成浏览器更新的执行文件。它没有立刻运行，而是潜伏在后台，等待用户登录家庭账户后再启动清除程序。
目标不只是阻断调查。
是要抹掉所有接触过它的人留下的痕迹。
他擦了擦额头的汗，打开手机，拨通糖糖的视频通话。电话响了两声就接通了，女孩穿着睡衣，手里还捏着半瓶葡萄糖口服液。
“小刘叔叔。”她声音很轻，“是不是出事了？”
“你昨天记的那个时间点，”他问，“Wi-Fi掉线那会儿，平板有没有自动连上别的设备？”
糖糖点头，翻开值班本：“二十点十五分，信号跳到了一个叫‘SmartHome_Update’的蓝牙源。我没点连接，系统自己试了一下，然后弹了个红框，说证书无效。”
小刘迅速调出那段异常蓝牙广播的频率参数，和监听模块被捕获的时间做交叉比对。误差不到四百毫秒——对方在尝试入侵他们系统的同时，也在扫描周边民用设备，寻找可利用的跳板。
而糖糖家的平板，差一点就成了内应。
他把数据打包，上传至“儿童监督协作区”。路径是固定的：先经双重验证，再由系统自动打上时间戳和来源标签。文件刚传完，页面右下角跳出一条提示：【检测到相似特征码，关联对象：教育守护者v3.2】。
小刘愣了一下。
那是上个月被通报下架的一款学习软件，宣传语写着“智能识别孩子情绪，定制成长方案”。后来曝光它偷偷收集语音、摄像头画面，甚至能通过麦克风监听房间对话。监管部门勒令停运，公司注销，产品服务器理论上已经关闭。
可现在，它的代码残迹出现在攻击他们的木马程序里。
他截图发给李薇。十分钟后，她回信：“这款软件的技术团队，半年前整体转入一家‘智慧城市解决方案公司’。注册地在开发区，法人代表有海外背景。”
小刘盯着那行字，手指慢慢收紧。
这不是随机攻击。也不是单纯的黑产牟利。
有人把淘汰的监控工具改头换面，塞进新的壳子里，继续运行。就像把病菌装进疫苗瓶，打着保护的名号扩散。
他重新插上网线，在沙箱环境中重建访问链路。这次他不再试图深入核心，而是反向追踪木马回传的数据流。经过三次跳转后，最终指向一个位于东南亚的云存储桶，命名规则是“SyncLog_城市缩写_日期”。
他输入本地代号，加上昨天的时间。
页面加载了两秒，弹出三百多个子目录。