70万台设备中招！恶意软件“荐片播放器”大规模传播

70万台设备已感染！恶意软件＂荐片播放器＂大规模传播家里电脑装个播放器看个剧，这事再平常不过。

可要是告诉你，你装的那个免费播放器，背地里把你电脑的钥匙交给了别人，你会不会后背发凉？国家互联网应急中心最近盯上了一款叫＂荐片播放器＂的Windows软件，顺手把它的底裤扒了个干净。

监测数据摆出来，国内中招的机器已经超过70万台。这个数不是估算，是实打实抓到的受控终端。很多年轻朋友对＂荐片＂这个名字不陌生。

前几年它靠着免费影视资源在短视频平台、贴吧里被当成宝贝推来推去，谁要是想找冷门片源，总有人甩给你一个下载链接。它挂的所谓官网是www.jianpian.com，可这个域名根本没在国内合法备案。

CNCERT这次通报等于把实情告诉大家，所谓的看片神器，其实是一款功能齐全的远控木马。来看一组硬数据。

2026年9月15日到9月22日，短短一周时间，CNCERT抓到的感染终端累计700，260台，单日最高同时上线的受控设备达到251，880台。什么概念呢？

相当于每天都有二十多万台家用或办公电脑听着远程服务器的号令干活。这个量级在近两年的恶意软件通报里非常罕见，也是这次事件被紧急公开的直接原因。

有朋友可能会想，不就是个播放器嘛，中毒了杀一下不就完了。真不是这么简单。

安装那一刻，程序里的核心模块jianpianer.dll就往注册表的Run键塞了一条自启动记录，键名叫JIANPIAN，启动参数带着隐藏窗口。电脑一开机它就跑，没界面没图标，谁也看不见。

更麻烦的是，它还会偷偷接管StartupApproved\Run这一项。普通用户打开任务管理器，想在＂启动＂栏里把它禁用掉，点了也白点，根本禁不掉。

另一个组件Jp_Update.exe被直接注册成系统服务，开机自己起来，再借用你登录账号的令牌把自己拉回桌面层，拿到跟真人一样的操作权限。真正让搞安全的人头皮发麻的，是它开了两条独立的远程脚本通道。

一条每30分钟联一次服务器，另一条每20分钟联一次，都走8002端口。服务器回传的数据只要前两个字节是＂00＂，电脑这头就自动把后面的内容当代码跑。

等于说，远端想让你电脑做啥，几乎没限制。这套脚本引擎还注册了callapi、HashCls一堆内置函数，权限大得吓人。

调用任意DLL、创建COM对象、下载并执行文件、往内存地址写数据，样样都能干。它甚至能把exe文件直接映射到内存里跑起来，硬盘上一点痕迹都不留。

模块里还打包了BlackBone注入框架，能加载内核驱动，这已经是企业级攻防工具的级别了。剪贴板也没被放过。

你平时复制个链接发给朋友，只要是HTTP或者FTP开头的网址，后台会悄悄把它换成服务器下发的推广链接。你以为粘出去的是网盘地址，对方点开的是广告落地页。

另外还有个叫FileSuite.exe的组件，上来就把36种常见媒体格式的默认打开方式全改成自家播放器，连你之前手动选过的都给覆盖。设备指纹这块更是没客气。

软件读C盘卷序列号，再加上第一块物理网卡的MAC地址，用短横线一拼，就是你这台机器的唯一身份证。虚拟网卡会被跳过，摆明了要锁定物理机。

这个指纹写进注册表的PCCode键，上报到服务器，每一台中招电脑在对方的后台里都有一条清晰的档案。对比不同版本可以看出，这玩意儿一直在升级。

把时间线往回拉一点看，这类＂合法外壳+后门内核＂的手法今年特别活跃。2026年以来，网信办和公安部通报过好几起类似案件，都是拿一个看着正常的消费级软件做入口，真正的恶意能力藏在更新模块或者远程脚本里。

普通软件部署量大、用户警惕性低，天然就是攻击者眼里的好靶子。有朋友又问了，一台家用电脑而已，就算中招了能有多大事？这就说到关键了。

70万台机器里，相当一部分同时装着企业VPN、家校沟通软件、政务办公客户端。家里电脑一旦被远程操控，攻击面就从个人扩到了单位。

CNCERT这次直接建议中招的终端按受控主机处理，隔离之后重装系统，重装系统这四个字分量不轻。从网络安全这个大盘子上看，近几年各国情报机构都把目光投向了消费级软件。

国际上几次大规模供应链投毒事件，走的都是这个路子。国内这边的监测通报节奏也越来越快，这次把样本分析、通信特征、IOC指标一次性公开，等于把一份现成的排查清单交到了企业和用户手里。

普通用户想自救，几步就够。看影视类软件别从搜索引擎广告位点进去，优先走应用商店或者厂商直链。

装之前瞄一眼数字签名的主体，个人证书签的要特别留心。日常别一直挂着管理员账号用电脑，权限收紧一点，很多后门就跑不起来。

想自查的朋友，去注册表看看有没有JIANPIAN这个键，服务列表里找找Jp_Update，%APPDATA%\jianpianhelp\这个路径翻一翻，一目了然。企业的IT同行压力更大。

建议在出口防火墙上直接拦截对8002端口ssl.asp地址的POST请求，30分钟和20分钟两个心跳节拍非常规律，流量侧好识别。终端日志和边界日志都留着，万一真有机器中招，溯源的时候用得上。

真发现被控了，别抱侥幸心理指望杀毒软件搞定，按CNCERT的建议走重装流程，省心。写到这儿，我们想和各位聊一句实在话。

这些年软件越做越便利，一键下载、一键授权，大家点得越来越顺手。可便利的另一面，是我们对自己这台电脑的掌控越来越虚。

荐片这件事翻出来，其实把灰色下载生态的里子给大家看了一眼。70万这个数字摆在那儿，不吓唬人，但也确实该让人警醒一下，装东西之前，多看两眼不吃亏。