近期，国家互联网应急中心（CNCERT）监测发现，"荐片播放器"Windows端应用程序内置后门功能。该程序由非国内合法备案网站www.jianpian.com提供下载，借影视播放功能，通过注册表自启动和系统服务后台运行，可在用户不知情下采集终端信息、下载运行其他程序，并接收服务端指令执行任意代码。2026年9月15日至22日，累计监测到境内700,260台设备感染，日上线受控终端最高达251,880台。

一、四大恶意行为

国家互联网应急中心（CNCERT）监测发现该类应用程序有以下特点：

1. 隐藏驻留·后台静默运行

通过注册表自启动项和系统服务保持后台运行，用户难以察觉；模块被删可远程重下，具备自修复能力；持续更换通信域名、接口和加密方式，但核心恶意行为不变。

2. 数据采集·终端精准画像

读取C盘卷序列号与第一块物理网卡MAC，拼接生成设备唯一指纹并写入注册表，逐台识别终端；同时留存推广活动编号、安装渠道、来源域名和安装时间等归因数据。

3. 双通道远控·任意代码执行

两条独立通道分别每30分钟、20分钟向服务器POST请求脚本；返回内容以“00”开头时，内置脚本引擎直接执行，可调用任意DLL函数、创建任意COM对象、下载运行任意文件、向指定内存写入数据；结合进程注入、内核驱动加载和内存执行，服务端可随时下发任意程序，完全控制设备。

4. 流量劫持·篡改默认关联

监听剪贴板，将复制的链接替换为服务器下发的推广链接；以管理员权限将36种媒体格式默认打开方式改为自家播放器；广告弹窗由服务端远程控制，内嵌浏览器可写文件、触发下载、读取本机指纹等高权限操作。

该恶意程序最新版本已完成多项升级：回传地址全面改用HTTPS，脚本下发通道迁至新域名家族，控制服务整体切换至jpcloud.org域名族，通信改用自带libcurl库并新增加密流量隧道。其通信域名、接口和加密方式持续变化，但后门植入、信息窃取、远程控制等核心能力始终未变。

二、同类型风险盘点

此类风险并非孤例，观察发现，相关攻击通常遵循共性链条：仿冒下载渠道 → 捆绑植入后门 → 远程控制/信息窃取。以下为近期典型案例：

三、防范建议

（一）个人用

1. 不从非正规渠道下载影视播放器类软件，选择官方网站或可信应用商店；

2. 下载软件时核对数字签名主体，警惕以个人证书签名的安装程序；

3. 留意安装过程中默认勾选的捆绑选项，取消不必要的附加安装；

4. 开启终端防护软件实时防护并保持病毒库更新；

5. 不使用管理员账户日常办公，限制未知程序以管理员权限运行。

（二）企业单位

1. 全面排查感染终端：按IOC排查注册表Run键JIANPIAN、SOFTWARE\JIANPIAN键、服务Jp_Update与BlackBone、安装目录及%APPDATA%\jianpianhelp\下的可疑模块；确认感染终端应视为受控主机，隔离排查后建议重装系统；

2. 封堵恶意域名与IP：在边界安全设备上封禁相关IOC，重点监测8002端口ssl.asp地址的周期性POST请求；

3. 强化终端防护与权限管控：遵循最小权限原则，限制未知程序管理员权限，及时安装系统与软件安全补丁；

4. 加强日常安全监测与审计：定期巡检自启动项、系统服务、进程与网络连接，关注剪贴板异常替换、文件关联被篡改等现象，留存相关日志。

四、结语

"免费"的背后往往有代价。一款看似正常的播放器，可能让你的设备成为别人手中的肉鸡。正规渠道下载、谨慎授予权限、保持终端防护更新——三道防线，缺一不可。