CNCERT（国家互联网应急中心）日前发布安全风险提示，指出一款名为“荐片播放器”的软件内置了后门程序，能够在用户完全不知情的情况下收集设备信息、静默安装其他软件，并接收 C2 服务器指令执行任意代码。据统计，仅 2026 年 9 月 15 日至 22 日期间，CNCERT 累计检测到境内 700,260 台设备感染，日平均上线的受控终端数量最高达到 251,880 台。
具备持久驻留和远程执行能力
安全研究人员发现，荐片播放器通过写入注册表实现自启动，并在后台以系统服务方式持续运行。更棘手的是，该程序还会尝试让用户在任务管理器中禁用自启动的操作失效——相关服务会以当前登录用户身份重新启动自身，从而获得更高的桌面操作权限。
程序会周期性从 C2 服务器拉取配置，根据服务器指令将推广软件（包括豆包以及 360 的壁纸软件等）下载到临时目录，再以管理员权限隐藏运行。可下载的软件种类和来源地址完全由服务器端决定。同时，程序还会读取硬盘序列号和网卡 MAC 地址生成设备指纹，记录安装渠道、推广活动编号、来源域名和安装时间等信息。
该软件内置了两条独立的脚本下发通道，分别以 30 分钟和 20 分钟为周期向服务器发送请求。服务器返回特定格式的数据后，程序会将其直接交给脚本引擎执行，具备调用 DLL、创建 COM 对象、下载运行文件和向指定内存地址写入数据的能力。再加上内核驱动加载和内存执行等手段，服务端能够持续向受控终端投递其他程序。
主要恶意行为在新版本中仍然存在
荐片播放器还会监听剪贴板，将用户复制的部分 HTTP 或 FTP 链接悄悄替换为服务器下发的推广地址，并批量修改 36 种媒体格式的默认打开方式。
CNCERT 对多个版本进行对比后发现，尽管软件换了通信域名、接口和加密方式，但其自启动、静默安装、终端信息采集、剪贴板劫持、脚本执行和进程注入等主要恶意行为在新版本中依然存在。
火绒安全实验室披露的关联案例显示，该播放器安装包还可能在后台捆绑其他软件，通过进程注入和浏览器 hook 劫持用户主页。即便用户重新下载或更新播放器，主页劫持问题仍然会复现。
建议直接重装系统
CNCERT 建议用户不要从非正规渠道下载捆绑推广的影视播放器，安装软件时核对数字签名主体，警惕使用个人证书签名的安装程序，同时留意安装过程中的默认勾选项。
但现实情况是，即便用户在安装荐片播放器时取消了豆包的勾选，取消后豆包依然会被安装。已经安装过该软件的用户，应当将设备视为受控主机，在完成隔离和取证排查后，建议直接重装系统以彻底清理，避免终端数据泄露以及设备沦为肉鸡被黑客远程控制。
消息来源：CNCERT 国家互联网应急中心
| 
发表于 1 小时前
|
查看: 4|
回复: 0
