70万台电脑被"荐片播放器"控制，日活受控最高25万

国家互联网应急中心（CNCERT）10月9日发布风险提示：一款叫"荐片播放器"的Windows应用内置后门功能，境内已监测到超 70万台 设备感染。 这不是普通的捆绑软件。CNCERT的分析显示，它在提供影视播放功能的同时，通过注册表自启动项和系统服务保持后台运行，具备静默安装第三方软件、采集终端指纹与行为数据、篡改剪贴板内容等功能。 两条通道，随时听令 该程序内置了两条独立通信通道，可定期接收并执行服务端下发的脚本。结合进程注入、内核驱动加载和内存执行能力，服务端能够持续向终端投递和运行其他程序。 换句话说，被感染的电脑不只是被装了软件，而是随时可以接收指令、执行任意代码。CNCERT明确指出，这存在终端被远程控制、个人信息泄露等安全风险。 更值得注意的是版本比对结果：该软件虽调整了通信域名、接口和加密方式，但脚本下发执行、终端信息采集、进程注入等主要恶意行为仍然存在。改的是外壳，内核没变。 25万台同时在线 2026年9月15日至22日，CNCERT累计监测到境内 700,260台 设备感染，日上线受控终端数量最高达 251,880台 。 一周之内，超过70万台设备中招；单日最高有超过25万台受控终端同时在线。这个规模意味着后门已经形成了稳定的控制网络，而非零星感染。 对于普通用户来说，最实际的问题是：怎么判断自己有没有中招，以及中了之后怎么办。 五条处置建议 CNCERT给出的防范建议覆盖了从下载到清除的完整链条： 不从非正规渠道下载安装捆绑推广的影视播放器类软件；下载时核对数字签名主体，警惕以个人证书签名的安装程序；留意安装过程中默认勾选的捆绑选项。 按IOC排查注册表Run键JIANPIAN、SOFTWARE\JIANPIAN键、服务Jp_Update与BlackBone、安装目录及%APPDATA%\jianpianhelp\下的可疑模块、%TEMP%目录中的随机名可执行文件。确认感染的终端应视为受控主机，隔离排查后建议重装系统。 在边界安全设备上封禁相关IOC；重点监测对jptongji.jianpiancloud.com:8002/ssl.asp等8002端口、ssl.asp地址的周期性POST请求（30/20分钟两个周期）。 开启终端防护软件实时防护并保持病毒库更新；遵循最小权限原则，不使用管理员账户日常办公，限制未知程序以管理员权限运行；及时安装系统与常用软件安全补丁。 定期巡检终端自启动项、系统服务、进程与网络连接，关注剪贴板内容被替换、文件关联被篡改等异常现象；留存终端与边界网络日志，为影响范围认定和溯源处置提供依据。 其中第二条最关键：确认感染的终端应视为受控主机，隔离排查后建议重装系统。不是杀毒软件扫一遍就能放心的事。 第三条里的监测细节也值得留意——30分钟和20分钟两个周期的POST请求，是判断异常通信的具体特征。如果边界设备上看到这个规律，基本可以确认有问题。 从下载渠道到终端权限，从域名封堵到日志留存，这套建议的逻辑很清晰：先断掉感染源，再清除已感染的，最后堵住回传通道。三步都做到，才算处理干净。 特别