晚上九点二十分，陆维桢从研究所东侧围墙和附属楼之间的夹缝中侧身进入弱电间外侧的设备平台。平台上排列着三台空调外机，机组的运行声在狭窄空间里形成持续的低频掩蔽，减弱了他移动时衣物与墙面的摩擦声。他蹲在空调外机之间的间隙中，用长柄工具打开弱电间的外侧检修窗。检修窗是向内开的，打开后露出了弱电间内部的部分管线布局和应急照明灯的绿色微光。
他侧身从检修窗口进入弱电间，落地位置在一组配线架旁边。落地时没有产生明显的声响。他站在原地静默了几秒钟，使自己的呼吸和周边设备的运行噪音同步，然后沿着机柜之间的空隙向测试台终端所在的方向移动。终端所在的位置在走廊另一端，中间隔着两道消防门和一条设备通道。他用一种近似的走动频率在这些通道之间穿梭，在最后一道消防门前蹲了下来，通过门缝观察了终端房间内部的光线分布——房间内只有显示器待机状态下的微弱背光，日光灯关闭，没有人员活动。
他推开消防门，进入房间后打开终端屏幕。屏幕亮起后显示的锁屏界面和正常的终端登录界面一致，但右上角有一条未读系统通知的标记。他点击了通知图标，弹出了系统在最近一段时间的登录记录日志。日志顶部显示当天白天有六次成功登录，全部来自同一位用户名的账号。当天夜间没有新的登录记录，最后一条日志的登出时间停留在下午五点四十八分。
他点击了登录记录的详细视图，查看每一条记录的接入IP和终端标识。白天六次登录的IP地址一致，全部指向研究所内部网络的固定地址段。夜间没有新的接入记录，系统日志也显示登录成功之后的时段内没有异常的数据传输活动。这条信息可能说明终端没有被动过，但程序本身的数据流可能是自动运行的，不需要通过登录终端界面来完成。
他在终端系统的任务管理器中检查了后台进程列表，发现了一个常规操作界面上不应出现的程序——进程名称被随机打乱成了六个数字字母组合，没有关联任何软件供应商的签名信息。进程占用的内存量很小，没有持续的CPU使用峰值，处于低功耗待机状态。他记录了进程的完整路径和参数列表，然后关闭了任务管理器窗口。
在系统日志中，他找到了该进程对应的创建时间，位于一个月前。创建时间点与廖维在航空动力研究所的某次设备维护记录的起始时间点接近。他把这个时间点的数据保存在本地的临时存储区里，然后退出登录界面，把终端屏幕恢复到了待机状态。退出时终端屏幕的亮度自
…。。