7月7日，网监处一行9人再次造访东方微点办公处，而这次的理由转变为“网络安全例行检查”。
此后的12日、14日、19日等，网监处开始地毯式轰炸东方微点员工。“一个星期有三四次，并且多次传唤公司员工，有时甚至从下午3点一直传唤到半夜。”刘旭回忆说。
最意外的是，7月28日，在于兵的指示下，网监处对东方微点负责后勤与市场推广工作的副总经理田亚葵进行刑事立案。
后来的事实表明，田亚葵就是他们内定的替罪羊。
“乱”打成“冤”
2005年10月下旬，“成功破案”的北京市公安局网监处网站向外公布，这一年的7月2日，网监处接到多家防病毒公司报案，称1月以来，“木马”、“蠕虫”病毒暴发成灾。在7月5日，张鹏云带队的网监处对东方微点进行检查时，发现该公司副总经理田亚葵的电脑里有4种病毒于2004年12月21日被激活。他在没有采取任何安全保护措施的情况下，就在网上测试病毒。
如果以上内容属实，这就似乎可以解释，为何7月7日网监处在对东方微点进行检查时，理由从5日的“反病毒公司资质调查”转向“网络安全例行检查”。
但令人琢磨不透的是，7月20日上午，时任网监处处长的于兵在单位召开的有关东方微点的会议上，当张鹏云介绍案情时提及东方微点的田亚葵、刘旭不太配合时，于兵立刻翻脸，沉默片刻后下达了死命令：“要把这个公司做成《刑法》第二百八十六条的罪”。
按照这个逻辑走下去，目标当然就是被他们“发现”电脑里藏有四种病毒的田亚葵。于是就在于兵下达军令8天后的28日，网监处对田亚葵刑事立案就显得顺理成章。
刑事立案只是个开始，下一步最重要的工作就是如何搜集证据来证明田亚葵确实涉案，且造成了相关损失，从而实现立案的目标：将田亚葵抓捕归案。
8月，按照于兵搜集证据的指示，张鹏云和时任网监处产品管理科副科长的齐坤，分别来到了东方微点办公处附近的北京思麦特管理顾问有限公司和北京健桥证券股份有限公司北京管理部，调查了解他们被病毒感染及造成损失的情况。
两家公司在“说明的内容是公安局的人让公司这么出具的”情况下，分别出具了10万元虚假损失的证据材料。
为了进一步证实这两家公司的病毒源确实是田亚葵的笔记本电脑。8月27日，于兵授意齐坤召开了病毒专家论证会。
当天，业内专家在齐坤有意隐瞒真实材料的情况下，做出了“基本可以确定”的意见，但会后，于兵授意齐坤将专家的“基本可以确定”改为“可以确定”。
待这些证据搜集完毕后，8月30日晚上两点，北京公安机关以涉嫌“故意制作、传播计算机病毒等破坏程序影响计算机系统正常运行造成严重后果”为由，将田亚葵刑事拘留。
铲了东方微点
田亚葵被刑事拘留后，网监处碰到了一件尴尬事：没人报案。