注册表键值被恢复出来时，时间戳卡得很死。

龙口前夜，凌晨一点五十七分，李维办公电脑曾经发起过一次高权限远程桌面连接。连接持续十八分二十四秒，断开时间是凌晨两点十五分之后。

小马把记录投到内网屏幕上：“这不是网页访问，也不是普通接口测试，是RDP远程桌面。连接账户被抹了，但缓存里残留了目标地址。”

叶秋立刻问：“目标在哪？”

“正在穿透。”小马调出IP比对库，又接入软件园现场截获的网段清单，“地址经过一层跳转，但最终落点很熟。”

屏幕上两组数字并排出现。

一组来自李维电脑RDP残留。

一组来自软件园三号楼盛衡临时机房。

最后三段完全一致。

老钱脸色沉下来：“也就是说，李维坐在省平台办公室，直接连到盛衡那边？”

“至少这台电脑连过。”小马补了一句，“而且连接时间正好覆盖龙口前夜的关键窗口。”

叶秋拿起笔，在时间线上标注：“一点五十七分连接，二点十五分三站虚假承接，二点十五分后断开。中间十八分钟，足够完成参数核对、截图生成和触发BRG-L2。”

林风看着时间线，声音很稳：“再查连接前后，他电脑上有没有本地文件打开记录。”

小马切换日志：“连接前五分钟，他打开过bridge_param.xlsx，连接后两分钟，本地生成过一张截图缓存，文件名就是刚才恢复出的v42_auth_view.png。”

叶秋冷笑：“他要再说自己只是看参数，就让他解释远程桌面为什么会生成六三一截图。”

平台技术处那名工程师站在旁边，脸已经白了。他忍不住低声道：“按规定，复核岗电脑不能直连外部远程桌面，这个端口应该是封死的。”