- 发布日期
内置后门功能的恶意软件“荐片播放器”大规模传播，已监测到超 70 万台设备感染
- 作者
- 姓名
- 荷鲁斯快报
- 社交账号
内置后门恶意软件“荐片播放器”大规模传播 已监测超70万台设备感染
国家互联网应急中心（CNCERT）10月9日发布风险提示，“荐片播放器”Windows端应用程序内置后门功能，正在大规模传播。监测显示，境内已发现超70万台设备感染。该程序可在用户不知情下采集终端信息、下载运行其他程序，并接收服务端指令执行任意代码。
据该软件在提供影视播放功能的同时，通过注册表自启动项和系统服务保持后台运行。其可静默安装第三方软件、采集终端指纹与行为数据、篡改剪贴板内容。终端因此存在被远程控制、个人信息泄露等风险。
分析发现，该程序内置两条独立通信通道，可定期接收并执行服务端脚本。结合进程注入、内核驱动加载和内存执行能力，服务端能持续向终端投递和运行其他程序。不同版本虽调整通信域名、接口和加密方式，但脚本下发执行、终端信息采集、进程注入等主要恶意行为仍存在。
CNCERT在2026年9月15日至22日累计监测到境内700,260台设备感染，日上线受控终端数量最高达251,880台。感染规模表明，大量Windows用户已面临现实威胁。由于具备后台驻留和静默安装能力，普通用户往往难以察觉。
CNCERT建议规范软件获取渠道，防范捆绑安装，下载时核对数字签名主体，警惕个人证书签名程序。对已感染终端，应按IOC排查注册表Run键JIANPIAN、SOFTWARE\JIANPIAN键、服务Jp_Update与BlackBone等，确认后隔离排查并建议重装系统。同时，应封堵恶意域名与IP，重点监测对jptongji.jianpiancloud.com:8002/ssl.asp等地址的周期性POST请求。
用户还应开启终端防护实时防护，遵循最小权限原则，及时安装补丁，并定期巡检自启动项、系统服务、进程与网络连接。CNCERT提示，留存终端与边界网络日志，可为影响范围认定和溯源处置提供依据。相关防范措施还包括限制未知程序以管理员权限运行，并持续关注剪贴板内容被替换等异常现象。
