事件概述
国家互联网应急中心（CNCERT）近日发布风险提示：监测发现「荐片播放器」Windows 端应用程序内置后门功能，可在用户不知情的情况下采集终端信息、下载运行其他程序，并接收服务端指令执行任意代码，存在终端被远程控制、个人信息泄露等风险。目前境内已监测到超 70 万台设备感染。本次分析对象为「荐片影视」所谓官方地址（www.jianpian.com，非国内合法备案网站）提供的下载包。
技术细节
感染规模与驻留方式
2026 年 9 月 15 日至 22 日，CNCERT 累计监测到境内 700260 台设备感染，日上线受控终端数量最高达 251880 台。程序在提供影视播放功能的同时，通过注册表自启动项和系统服务保持后台运行，具备静默安装第三方软件、采集终端指纹与行为数据、篡改剪贴板内容等功能。
安装后可隐藏窗口自启动，并通过操作注册表使用户在任务管理器中禁用自启动的操作失效。后台会按服务器配置下载并隐藏运行第三方安装程序，下载的软件及来源地址均由服务器决定。程序还会监听剪贴板，把用户复制的特定链接静默替换为推广链接，并批量改写 36 种媒体格式的默认打开方式。
两条独立脚本下发通道
该软件内置两条独立的通信通道，分别每 30 分钟、20 分钟向服务端发送请求，可将服务端返回的特定内容直接作为代码执行。结合进程注入、内核驱动加载和内存执行能力，服务端能够持续向终端投递并运行其他程序，部分程序可在不写入磁盘的情况下运行，即所谓「内存执行、不落盘」。
CNCERT 对不同版本做了比对：最新版本虽然更换了通信域名、接口与加密方式，但隐藏自启动、静默安装、信息采集、剪贴板劫持、脚本下发执行与进程注入等主要恶意行为依然存在，属于同一套代码的持续迭代而非偶发行为。
可检索的 IOC
注册表自启动项 : Run 键 JIANPIAN
注册表配置键 : SOFTWARE\JIANPIAN
系统服务 : Jp_Update、BlackBone
程序目录 : 安装目录、%APPDATA%\jianpianhelp\ 下的可疑模块
临时文件 : %TEMP% 目录中的随机名可执行文件
回传通道 : jptongji.jianpiancloud.com:8002/ssl.asp
周期性 POST，两个周期分别为 30 分钟与 20 分钟影响评估
这是一起典型的「正常功能掩护 + 内置后门」案例：程序本身确实能播放影片，降低了用户戒心，但真正的载荷是服务端可控的脚本执行能力。受影响终端应视为受控主机——服务端不仅能采集终端指纹与行为数据，还能随时投递任意程序，包括内存执行的模块，传统基于文件哈希的查杀手段对此覆盖有限。
剪贴板劫持与默认打开方式改写还把风险外溢到日常场景：复制的链接被静默替换可能引导用户访问推广甚至钓鱼页面，本地媒体文件的打开方式被改写则意味着后续打开文件也可能被引向恶意程序。
修复建议
- 规范软件获取渠道：不从非正规渠道下载安装捆绑推广的影视播放器类软件，下载时核对数字签名主体，留意安装过程中默认勾选的捆绑选项；
- 按上述 IOC 全面排查感染终端，重点检查注册表 Run 键、JIANPIAN 相关键、Jp_Update 与 BlackBone 服务；
- 确认感染的终端应视为受控主机，隔离排查后建议重装系统，不要只删除文件了事；
- 在边界安全设备上封禁相关恶意域名与 IP，重点监测对 8002 端口与 ssl.asp 地址的周期性 POST 请求；
- 遵循最小权限原则，不使用管理员账户日常办公，限制未知程序以管理员权限运行，并保持终端防护软件病毒库更新。