国家互联网应急中心发布风险提示：荐片播放器内置后门 已感染70万台设备
内容提要
国家互联网应急中心通报，荐片播放器内置后门，感染境内超70万台设备。该程序可自启动、静默安装豆包等推广软件、劫持浏览器主页和剪贴板，并定期从C2服务器获取指令执行任意代码。火绒也披露其捆绑与注入行为。建议勿从非正规渠道下载，已安装用户应隔离取证并重装系统。
延伸解读
感染规模与活跃度
国家互联网应急中心在2026年9月15日至22日期间累计检测到境内700,260台设备感染，日平均上线受控终端数量最高达251,880台。这一数据表明后门程序不仅传播范围广，且大量设备长期在线受控，攻击者可能利用这些设备组建僵尸网络，进行远程控制或数据窃取。
持久化与反清除机制
荐片播放器通过注册表自启动和系统服务实现持久驻留，并尝试使用户在任务管理器中禁用自启动的操作失效。相关服务还会以当前登录用户身份重新启动自身，以获取更高桌面操作权限。这意味着普通用户难以手动清除，即使结束进程也可能被重新拉起。
远程控制与脚本执行能力
程序定期从C2服务器获取配置，可下载推广软件并以管理员权限隐藏运行。内置两条独立脚本下发通道，分别以30分钟和20分钟为周期请求，服务器返回数据后直接交由脚本引擎执行，具备调用DLL、创建COM对象、下载运行文件和向指定内存地址写入数据的能力。结合进程注入和内核驱动加载，服务端可持续投递其他程序。
版本迭代与清除建议
CNCERT对比多个版本发现，虽然通信域名、接口和加密方式不断更换，但自启动、静默安装、终端信息采集、剪贴板劫持、脚本执行和进程注入等主要恶意行为仍然存在。火绒安全实验室披露，安装包还可能后台捆绑其他软件，通过进程注入和浏览器hook劫持主页。已安装用户应视设备为受控主机，完成隔离和取证后建议重装系统以彻底清理。
Q&A
荐片播放器内置后门事件是什么？
国家互联网应急中心（CNCERT）发布风险提示，指出荐片播放器内置后门程序，已感染境内超过70万台设备。该后门可自启动、静默安装推广软件、劫持浏览器主页和剪贴板，并定期从C2服务器获取指令执行任意代码。
荐片播放器后门有哪些具体的恶意行为？
该后门会通过注册表实现自启动和系统服务后台运行，定期从C2服务器获取配置，静默下载推广软件并以管理员权限隐藏运行；读取硬盘序列号和网卡MAC地址生成设备指纹；监听剪贴板将HTTP/FTP链接替换为推广地址；批量修改36种媒体格式的默认打开方式；还具备脚本执行、进程注入、内核驱动加载和内存执行等能力。
荐片播放器后门感染规模有多大？
CNCERT在2026年9月15日至22日期间累计检测到境内700,260台设备感染，日平均上线的受控终端数量最高达到251,880台。
如果已经安装了荐片播放器，应该怎么处理？
CNCERT建议将设备视为受控主机，完成隔离和取证排查后，直接重装系统以彻底清理，避免终端数据泄露以及设备成为肉鸡被黑客远程控制。
如何预防荐片播放器这类后门软件？
不要从非正规渠道下载捆绑推广的影视播放器；安装软件时核对数字签名主体，警惕使用个人证书签名的安装程序；留意安装过程中的默认勾选项，但注意荐片播放器即使取消勾选豆包仍会被安装。
荐片播放器新版本是否修复了后门问题？
没有。CNCERT对比多个版本后发现，虽然软件更换了通信域名、接口和加密方式，但其自启动、静默安装、终端信息采集、剪贴板劫持、脚本执行和进程注入等主要恶意行为仍然存在。
