【安全圈】国家互联网应急中心预警：荐片播放器内置后门感染70万台设备|互联网|剪贴板|后门|命令提示符|播放器

关键词

后门

核心事件快报：国家互联网应急中心（CNCERT）联合火绒安全实验室发布重大终端安全风险提示。广泛流传的影音客户端“荐片播放器”被证实内置恶意后门程序，已在境内形成大规模僵尸网络。监测期内累计检测到境内 700,260 台终端设备受感染，日平均在线受控主机峰值达 251,880 台。该后门具备高度对抗性的持久化驻留机制、独立双通道 C2 远程脚本执行、内存进程注入及全局剪贴板流量劫持能力，官方建议受害用户进行资产隔离并重装操作系统。

态势监控：70万肉鸡集群与隐蔽分发链路

根据国家互联网应急中心公布的监测数据，在 2026 年 9 月 15 日至 22 日期间，该播放器后门的受控节点遍布全国多地。黑客利用影视资源站、网盘分享链接和第三方下载器进行大规模诱导分发，借“海量免费高清片源”吸引用户安装运行。

在安装与落地环节，该软件展现了极其典型的黑灰产对抗特征：

数字证书信誉欺骗
：安装程序使用个人开发者名义申请的数字证书进行代码签名，规避 Windows SmartScreen 和通用杀软的静态低信誉拦截。
勾选项虚假合规
：安装界面虽提供了推广软件的勾选框，但底层代码已硬编码无论用户是否手动取消勾选，安装包均会在后台解压释放捆绑程序，欺骗性极强。
多维度设备指纹上报
：程序启动后立即读取主板 BIOS UUID、硬盘物理序列号及网卡 MAC 地址生成不可伪造的设备唯一哈希，并连同安装渠道 ID、推广活动批次与系统版本一并上传至控制端。

⚡ 技术拆解：双信道脚本下发与深层进程注入

火绒安全实验室与 CNCERT 的逆向工程分析表明，荐片播放器具备完整的木马控制链条，且长期迭代对抗分析：

注册表与系统服务双重对抗守护
：后门将自身注册为 Windows 系统后台自启动服务，并监控注册表Run启动项。一旦用户尝试在任务管理器或启动项管理中禁用该程序，守护线程会立即将配置重置还原；此外，服务进程会利用当前已登录用户的桌面凭据重新生成高权限进程，绕过 Session 0 隔离限制。
双周期独立 C2 指令通道
：程序内置两条平行的指令下发通道，分别以 30 分钟和 20 分钟为固定心跳周期轮询 C2 服务器。服务端返回动态加密数据包后，客户端内置的脚本解析引擎直接在内存中反序列化并解析执行。
内存无文件执行与驱动加载
：脚本引擎具备动态加载第三方 DLL、实例化 COM 组件、向任意目标进程虚拟地址空间申请可执行内存（VirtualAllocEx/WriteProcessMemory）并创建远程线程的能力。同时具备加载签名驱动以实现内核级防护对抗的技术储备。
系统级行为污染与流量拦截
：
1）剪贴板内容正则替换：常驻钩子实时监听剪贴板更新事件，若匹配到用户复制的特定 HTTP/FTP 下载链接，直接静默替换为带返利推广或恶意跳转的 URL；
2）文件格式暴力关联：强制重写注册表，将系统中 36 种常见音视频多媒体扩展名（如 .mp4、.mkv、.avi、.rmvb 等）的默认关联强行绑定至自身，确保用户每次双击媒体文件都会重新唤醒后门守护。

️ 处置建议：官方明确建议重装系统清剿残留

CNCERT 在横向对比多个历史版本后指出，开发团队虽然频繁变更 C2 通信域名、接口路径和加密算法，但其核心的静默推广、驱动注入、剪贴板劫持和任意代码执行模块始终保留，属于典型的蓄意供应链后门行为。

鉴于该软件已向受控系统注入多层深层自保护钩子与隐藏任务，常规通过控制面板卸载无法根除潜在持久化载荷：

终端彻底隔离与重装
：凡安装过该播放器的终端应立即切断局域网连接，防止横向扩散。在备份纯文本与必要非可执行文档后，建议直接格式化全盘重装操作系统。
企业网络边界策略封堵
：企业网管应提取 CNCERT 公布的 IOC 指标，在防火墙与终端安全管理（EDR）中全面下发黑名单规则，封杀相关特征通信域名与未知数字签名程序。
规避非官方影音客户端
：杜绝使用来源不明的灰色影视播放器，软件采购与下载需严格校验数字签名主体及开发者信誉资质。