终端监控系统 · 摇铃山景区

1终端总览

机房共 12 台终端，仅 #12 出现异常账户活动

2终端#12 活动时间线

人工登录与系统账户活动并存 · 7月20日 – 7月28日

3监控录像日志

机房门禁 · 红外 · 摄像头三路同步 · 7月22日后无人工痕迹

4网络流量异常

事发后 2 小时 · 终端#12 向未知地址发送加密数据包

CAPTURED 2026-07-28 16:23:41.307

源地址192.168.10.47:44321

目标地址??? .??? .??? .??? : 9999

协议自定义 / 加密

载荷大小1 字节（UTF-8）

明文内容该

数据包内容为单字"该"，加密头部嵌入林守正铜符符文编码。目标地址经三层跳板后失联，无法追溯。该字符在中文语境下无明确语义，疑为某种应答信号或仪式性回执。

5终端#12 屏幕回溯

14:05:35 事发时刻 · 屏幕锁定状态自动执行指令

机房终端#12 · 屏幕锁定状态 · 监控录像截图

系统结论 · 账户自主活动

终端#12 自 7月22日 17:08:52 张海离岗后，至 7月28日事发，无任何人工操作记录（键盘、鼠标、生物识别均为空）。但 SYSTEM_MAINT_01 账户在此期间创建了定时制动指令并最终执行，且在事发后 2 小时发送了内容为"该"的加密数据包。该账户疑似由外部入侵或预置逻辑炸弹自动创建并执行指令。

⚠ 屏幕锁定 · 无人接近 · 账户自主执行

前往景安盾调查系统深入查阅 ->

景安盾 · 终端监控系统

系统结论 · 账户自主活动