国家互联网应急中心揭露：荐片播放器隐藏后门程序 70万设备受感染

国家互联网应急中心（CNCERT）在最新的风险提示中指出，荐片播放器中存在后门程序，该程序能够在用户不知情的情况下收集设备信息、静默安装其他软件，并接收C2服务器的指令执行任意代码。根据国家互联网应急中心的监测数据，2026年9月15日至22日期间，国内共有700,260台设备被检测到感染，其中日平均上线的受控终端数量最高达251,880台。

安全分析显示，荐片播放器通过注册表实现自启动和系统服务在后台运行，并会阻止用户在任务管理器中禁用自启动的操作。相关服务还会以当前登录用户身份重新启动自身，以获取更高的桌面操作权限。

该程序会定期从C2服务器获取配置，并按照服务器指令将推广软件下载到临时目录，然后以管理员权限隐藏运行。下载的软件种类和来源地址均由服务器决定。此外，程序还会读取硬盘序列号和网卡MAC地址生成设备指纹，并记录安装渠道、推广活动编号、来源域名和安装时间等信息。

荐片播放器内置两条独立的脚本下发通道，分别以30分钟和20分钟为周期向服务器发送请求。服务器返回特定格式的数据后，程序会直接交给脚本引擎执行，具备调用DLL、创建COM对象、下载运行文件和向指定内存地址写入数据的能力。结合进程注入、内核驱动加载和内存执行，服务端可持续向受控终端投递其他程序。

荐片播放器还会监听剪贴板，将用户复制的部分HTTP或FTP链接替换为服务器下发的推广地址，并批量修改36种媒体格式的默认打开方式。CNCERT对多个版本进行对比后发现，尽管软件更换了通信域名、接口和加密方式，但其自启动、静默安装、终端信息采集、剪贴板劫持、脚本执行和进程注入等主要恶意行为仍然存在。

火绒安全实验室披露的关联案例显示，该播放器安装包还可能在后台捆绑其他软件，通过进程注入和浏览器hook劫持用户主页。即使用户重新下载或更新播放器，仍然可能被劫持。

CNCERT建议用户不要从非正规渠道下载捆绑推广的影视播放器。在安装软件时，应核对数字签名主体，警惕使用个人证书签名的安装程序，并注意安装过程中的默认勾选项（尽管荐片播放器在安装过程中可以取消勾选豆包，但取消后仍然会被安装）。

已经安装过该软件的用户应当将设备视为受控主机，完成隔离和取证排查后建议重装系统，以彻底清理恶意程序，避免终端数据泄露以及设备被黑客远程控制的风险。

消息源：CNCERT、火绒安全