北京
国家互联网应急中心（CNCERT）发布风险提示，一款名为"荐片播放器"的软件内置后门程序。在2026年9月15日至22日期间，境内累计检测到700,260台设备感染，日平均上线的受控终端数量最高达到251,880台。
这不是普通的流氓软件。CNCERT的分析显示，它能在用户不知情的情况下收集设备信息、静默安装其他软件，并接收C2指令执行任意代码。
它怎么赖在设备上不走
荐片播放器通过注册表实现自启动，并以系统服务形式在后台运行。更棘手的是，它会尝试让用户在任务管理器中禁用自启动的操作失效——相关服务还会以当前登录用户的身份重新启动自身，从而获得更高的桌面操作权限。
换句话说，用户以为关掉了它，它换个身份又回来了。
程序会定期从C2服务器获取配置，按照服务器指令把推广软件下载到临时目录，再以管理员权限隐藏运行。下载什么软件、从哪个地址下载，全部由服务器决定，本地用户无从干预。
设备指纹与两条脚本通道
为了精准识别每一台受控设备，程序会读取硬盘序列号和网卡MAC地址生成设备指纹，同时记录安装渠道、推广活动编号、来源域名和安装时间等信息。
该软件内置两条独立的脚本下发通道，分别以30分钟和20分钟为周期向服务器发送请求。服务器返回特定格式的数据后，程序直接交给脚本引擎执行，具备调用DLL、创建COM对象、下载运行文件和向指定内存地址写入数据的能力。
结合进程注入、内核驱动加载和内存执行，服务端可以持续向受控终端投递其他程序。
剪贴板劫持与36种格式篡改
荐片播放器还会监听剪贴板，将用户复制的部分HTTP或FTP链接替换为服务器下发的推广地址，并批量修改36种媒体格式的默认打开方式。
CNCERT对多个版本进行对比后发现，软件虽然更换了通信域名、接口和加密方式，但自启动、静默安装、终端信息采集、剪贴板劫持、脚本执行和进程注入等主要恶意行为仍然存在。
火绒安全实验室披露的关联案例显示，该播放器安装包还可能在后台捆绑其他软件，通过进程注入和浏览器hook劫持用户主页。用户重新下载或更新播放器，仍然会被劫持。
取消勾选也没用
CNCERT建议不要从非正规渠道下载捆绑推广的影视播放器，安装软件时应核对数字签名主体，警惕使用个人证书签名的安装程序，也需要留意安装过程中的默认勾选项。
但有一个细节值得注意：荐片播放器在安装过程中可以取消勾选豆包，但取消后仍然会被安装。勾选框形同虚设。
已经安装过该软件的用户，应当视设备为受控主机。完成隔离和取证排查后，建议重装系统以彻底清理，避免终端数据泄露以及设备成为肉鸡被黑客远程控制。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
