当"免费播放器"变成可编程僵尸网络

——对"荐片播放器"内置后门事件的安全分析

分析对象：CNCERT 关于"荐片播放器"Windows端内置后门功能的公开风险提示
资料来源：国家互联网应急中心（CNCERT）
文档类型：独立安全分析报告
整理时间：基于 2026 年 10 月公开通报

摘要：2026年9月中下旬，国家互联网应急中心（CNCERT）在为期一周的监测窗口内，累计发现境内70万余台设备感染"荐片播放器"Windows端恶意程序，日上线受控终端峰值达251,880台。本文基于CNCERT通报文本，从持久化、权限维持、命令控制、无文件执行与抗清除等维度还原该样本的技术底座，评估其真实威胁等级，并给出可落地的检测、处置与治理建议。

核心判断：这已不是一款"捆绑推广的流氓软件"，而是一张已被点亮、保留内核级权限与任意代码执行能力、具备自愈能力的终端执行网络。它的表层商业模式是流量变现，但其技术能力与APT级工具链高度重叠。威胁等级不应按"广告软件"评估，而应按"受控主机群体事件"处置。

一、事件概要（通报事实）

• 对象：来自"荐片影视"所谓官方地址 www.jianpian.com（非国内合法备案网站）的"荐片播放器"Windows端程序。
• 能力构成：在提供影视播放功能的同时，通过注册表自启动项和系统服务驻留；具备静默安装第三方软件、采集终端指纹与行为数据、篡改剪贴板内容等功能。
• 控制通道：内置两条独立通信通道，定期接收并执行服务端下发脚本，结合进程注入、内核驱动加载、内存执行能力，实现持续载荷投递。
• 感染规模：2026年9月15日至22日，累计监测到境内 700,260 台设备感染，日上线受控终端最高 251,880 台。
• 版本演进：新旧版本虽更换了通信域名、接口与加密方式，但脚本下发、信息采集、进程注入等核心恶意行为未变。
• 时间线：CNCERT 通报于2026年10月上旬公开；界面新闻10月9日转载，广州医科大学信息与数据管理中心10月10日面向全校师生转发排查提示。

二、数据怎么读：规模背后是"常备执行集群"

把两个数字放在一起看，比单看总量更有意义：

一周窗口内、每天有二十多万台设备主动回连，意味着这不是"装完就废弃"的一次性木马，而是一个长期在线、可被服务端随时调度的执行集群。从攻防角度看，这类集群的价值不在"感染了多少台"，而在"能同时指挥多少台"——25万并发终端的调度能力，已经超过绝大多数黑产团伙的常规需求，属于典型的基础设施化运营。

同时必须指出口径问题：所谓"感染"通常基于回连遥测。位于企业内网、被防火墙阻断、NAT后未触发上报、或已卸载但残留的设备，都不在统计内。因此 700,260 应视为下限而非上限，真实暴露面大概率更大。

三、技术剖析：六层能力如何拼成一台"远程控制平台"

通报披露的模块与行为，可以还原出一条相当完整的攻防链。

1. 驻留：双保险 + 反禁用

• 核心库 jianpianer.dll 将自身写入 HKCU\Software\Microsoft\Windows\CurrentVersion\Run\JIANPIAN，键值附带 --windowstate=hide source=autorun，登录后无界面隐藏自启。
• 同步操作 StartupApproved\Run 项，使用户在任务管理器中点击"禁用"失效——这是对系统管理入口的直接对抗。
• Jp_Update.exe 被安装为开机自启系统服务 Jp_Update，形成第二重、权限更高的持久化。

分析：单点清除（删Run键）无法去除服务，删服务也去不掉Run键，二者构成互备。这种设计明显针对"用户自己动手清理"和"轻量级安全软件"两类场景。

2. 提权与身份切换：为什么要"回到桌面"

服务启动后，Jp_Update 会获取当前登录用户令牌，以该用户身份在用户桌面重新启动自身。

分析：这是 Windows Vista 以后 Session 0 隔离机制下的必然选择——系统服务无法直接操作用户桌面、浏览器、剪贴板和弹窗。攻击者先借服务拿到 SYSTEM 级启动权，再"降维"回到用户会话，从而获得完整的桌面交互能力。这一设计说明开发者对 Windows 权限模型相当熟悉，并非脚本拼接的低水平样本。

3. 命令与控制：双通道心跳 + "00"开关

服务端返回内容开头两字符为 00 时，整段内容即被内置脚本引擎（MSScriptControl，JavaScript）当作代码直接执行。

分析：

• 双通道、双周期互为备份，封堵其一仍有一条在跑，防御方必须同时覆盖 20 分钟和 30 分钟两种节律。
• 固定周期、缺少随机抖动（jitter），反而是检测的抓手：周期性 POST 是最容易被流量侧识别的 C2 特征之一。
• MSScriptControl（msscript.ocx）本是微软的脚本宿主组件，被直接用作 C2 执行引擎，属于"合法组件武器化"（LOLBins 思路）。脚本还注册了 callapi、HashCls 等桥接函数，可调用任意 DLL 函数、创建任意 COM 对象、下载运行任意文件、向指定内存地址写入数据。
• 结论：这段脚本本身就是一把 RAT。服务端只要能下发 JS，就等同于在目标机上拥有任意代码执行权。

4. 执行：无文件 + 内核驱动

• 下发内容按文件头分流：标准 PE 文件在内存中映射执行；自定义 CODE 头的数据块被复制到可读写可执行（RWX）内存后直接调用——任意程序无需落盘即可运行。
• 模块内嵌 BlackBone 注入框架，可向 32/64 位进程注入代码，并加载 BlackBoneDrv7-10.sys 内核驱动（驱动运行时从服务器下载）。

分析：BlackBone 是公开可得的开源进程注入框架，攻击者直接内嵌而非自研，说明其思路是"复用现成能力、快速产品化"，这类样本的迭代速度会很快。而内核驱动的引入，意味着攻击面从用户态跃升到内核态：EDR 的部分用户态钩子可能被绕过，普通清理手段也可能被对抗。

不过，能否成功加载该驱动存在前提条件：在开启 Secure Boot、内存完整性（HVCI/Core Isolation）并启用微软易受攻击驱动阻止列表的终端上，未签名或信誉不良驱动的加载会失败。这恰恰是最有效的预防性防线之一（详见第六节）。此处为分析推断，通报未披露驱动的签名方式与加载成功率。

5. 变现：不止是广告

• 静默装软件：jianpianer.dll 定时请求 https://pconfig.<域名>/svr_optns/config.php（主 jianpiancloud.com，备 jphwapi.com），解析返回的21 个控制字段，据此下载第三方安装包到 %TEMP%（随机文件名），再以**管理员权限（runas）+ 完全隐藏窗口（nShow=0）**运行，全程无感知。装什么、从哪装，全由服务器决定。
• 剪贴板劫持：后台监听剪贴板，把用户复制的 HTTP://、FTP:// 开头链接静默替换为推广链接；若替换结果是 m3u8 视频源则自动拉起播放。
• 文件关联劫持：FileSuite.exe 以管理员权限把36 种媒体格式的默认打开方式批量改写为自家播放器，包括覆盖用户已选定的 UserChoice 项。
• 广告弹窗：地址、内容与弹出节奏由 config.php 字段控制；广告页通过内嵌浏览器开放的本机接口，可获得写文件、创建组件、触发下载、读取本机指纹等执行能力。

分析：

• 剪贴板劫持的本意是导流，但技术上等价于任意链接替换。一旦被用于替换软件下载地址、支付链接或加密钱包地址，就构成典型的下游供应链攻击面——用户"明明复制的是官网，粘贴出来的却是别处"。这是本事件中最容易被低估的风险点。
• 媒体文件关联覆盖 UserChoice，形成"入口锁定"，使软件难以被彻底边缘化，也进一步提高了清除成本。
• 21 个服务端控制字段，说明这是一个可远程配置、按需下发的推广分发平台，具备完整的业务参数体系。

6. 抗清除：让它"删不干净、封不彻底"

• IP 直连：Jp_Update 每轮回连时把域名动态解析为 IP 并直接以 IP 请求，减少 DNS 暴露面。
• 远程换域名：服务端可通过注册表 HKCU\SOFTWARE\JIANPIAN 下的 main_domain（通道二为 main domain）值远程更换回传域名。
• DoH 加密解析：核心库对配置与广告类域名采用 DoH 解析，规避传统 DNS 审计。
• 自修复：jianpianhelp.dll 内置修复逻辑，模块文件被删除后，可经 http://web.<域名>:8000/mini/repair.asp 重新下载安装。

分析：这四条合起来构成了完整的韧性设计——删文件会被重装，封域名可远程换，看 DNS 走加密，抓流量走 IP 直连。这意味着"发现即删文件"这种处置方式在该样本面前基本无效，必须按"受控主机"处理。

7. 版本演进：基础设施在迁移

通报披露的最新版本已做如下升级：

分析：这是一次基础设施层迁移而非功能升级。换成 HTTPS + 自有网络库 + 加密隧道后，基于明文特征、旧域名和固定 UA 的检测规则会迅速失效。依赖 IOC 的防御在这个样本上只能管一周，行为检测与终端加固才是长期解。

四、ATT&CK 映射与检测点

五、风险推演：今天是广告，明天可能是任何东西

这是本文最重要的一节。判断一个恶意程序的危险程度，不能只看它现在做什么，而要看它具备了做什么的能力。

1. 能力已就位，用途可切换。 任意代码执行 + 内存无文件运行 + 内核驱动 + 25 万并发在线终端，这套组合本身与勒索软件投放、DDoS 僵尸网络、挖矿、间谍窃密所需的能力完全重合。当前只用于推广告、装软件，是商业选择，不是技术限制。
2. 控制权可能易主。 C2 域名、config.php 控制接口、main_domain 可远程改写——一旦服务端被第三方入侵、域名到期被抢注、或基础设施被整体出售/出租，这 70 万台设备会在一轮心跳周期内（20~30 分钟）接收新指令。攻击者不需要重新感染任何一台机器。
3. 渠道归因数据暴露了组织化程度。 程序会在 wkeStorage 目录留存推广活动编号、安装渠道、来源域名、安装时间。这些字段是分账依据，说明背后存在推广联盟/CPA 分发体系。对防御方是威胁情报，对执法方则是资金链与溯源的关键抓手。
4. 机构网络被动暴露。 该软件面向个人消费终端，但个人设备会接入校园网、医院内网、企业办公网。广州医科大学面向全校发布排查提示，正是因为这个逻辑——风险入口在个人终端，影响半径却在机构内网。

六、处置与防护建议

（一）已被感染的终端：按"受控主机"处置，不要只删文件

1. 网络隔离：立即断开有线/无线，停止其与控制端的进一步通信。
2. 不要直接手工删除后继续使用：该样本具备自修复能力，删文件大概率被重新下载。恢复出厂或重装系统是唯一可靠的清除路径。
3. 凭据轮换：样本以登录用户身份在桌面运行，具备读取用户环境的能力。重装后务必更换该用户在本机保存过的重要账号密码、浏览器凭据与令牌。
4. 排查横向影响：检查同网段、同账户、同批次终端是否存在相同 IOC，评估是否已发生横向移动。
5. 保留取证：在清除前留存内存镜像、进程列表、网络连接、注册表导出与日志，用于本单位影响范围认定与上报。

（二）IOC 排查清单（依据通报内容整理）

注册表

• HKCU\Software\Microsoft\Windows\CurrentVersion\Run\JIANPIAN
• HKLM\SOFTWARE\JianPianPlayer\PCCode
• HKCU\SOFTWARE\JIANPIAN（重点看 main_domain / main domain）
• ...\Explorer\StartupApproved\Run 中的对应项

服务与驱动

• 服务 Jp_Update
• 内核驱动 BlackBone* / BlackBoneDrv7-10.sys

文件

• 安装目录下的 jianpianer.dll、jianpianhelp.dll、Jp_Update.exe、FileSuite.exe
• %APPDATA%\jianpianhelp\
• %TEMP% 下随机命名的可执行文件
• 本地存储目录 wkeStorage

网络

• 域名族：jianpiancloud.com、jphwapi.com、x-app.one、jpcloud.org（及 jptongji.、pconfig.、web.* 子域）
• 特征：8002 端口、ssl.asp / ssl.php 路径的周期性 POST（20 分钟与 30 分钟两种节律）
• 异常：IP 直连但 Host 与 IP 不匹配、非企业 DNS 的 DoH 解析、新增加密隧道流量

说明：公开通报未附带样本哈希、完整域名/IP 清单与驱动签名信息。实际封禁前，建议向 CNCERT 或安全厂商获取最新 IOC，并结合本单位的网络流量特征做二次确认。

（三）终端与网络加固（预防性，价值高于排查）

• 开启 Secure Boot 与内存完整性（HVCI/Core Isolation），启用微软易受攻击驱动阻止列表——直接针对本样本的内核驱动加载环节。
• 应用白名单：通过 WDAC / AppLocker 限制非授权程序运行，可有效阻断"服务端下发什么就运行什么"。
• 最小权限：日常办公禁用管理员账户，限制未知程序提权（runas）运行；部署 LAPS 管理本地管理员口令。
• 监控关键系统入口：Run 键与 StartupApproved 写入、服务创建、内核驱动加载、msscript.ocx 被非浏览器进程加载、批量文件关联改写。
• DNS 与出口策略：强制企业 DNS、限制或审计 DoH、封禁非常规 C2 端口。
• 来源治理：软件统一从受管应用商店分发；明确禁止从下载站、网盘、"官方下载"类聚合页获取软件；推广类安装包需核验签名主体。

（四）机构层面（高校、医院、政企）

• 组织开展全校/全网排查，优先覆盖学生宿舍、实验室、机房与外包人员终端。
• 建立影子 IT 与终端资产台账，明确"个人设备接入内网"的边界与合规要求。
• 对接行业应急组织（教育行业可依托 CERNET/EDU-CERT，其他行业对接 CNCERT 及行业 CERT），同步 IOC 与处置口径。
• 对"影视/下载/破解类"应用建立常态化风险告知与拦截策略。

（五）产业与监管侧

• 分发渠道：搜索结果与下载站长期以"官方""正版"字样为高风险软件导流，建议建立与安全厂商的恶意样本快速下架联动。
• 基础设施处置：jianpiancloud.com、x-app.one、jpcloud.org 等域名族应联动注册商、云厂商与 CDN 进行处置；但需注意攻击者已展示出域名快速迁移能力，处置应为持续过程。
• 签名体系：通报提示"警惕以个人证书签名的安装程序"，说明签名信誉审查仍需加强，应推动签名主体核验与代码签名滥用通报机制。
• 安全产品：EDR 厂商需强化对脚本宿主滥用、内存无文件执行、可疑内核驱动加载、剪贴板异常写入的检测能力，而非仅依赖文件哈希。

七、本次情报的局限性与研判边界

作为独立分析，有必要明确结论的适用边界：

1. 本文事实基础为 CNCERT 公开通报及其转载文本，未接触样本本体，技术细节以通报描述为准。
2. 关于驱动能否加载、感染规模是否为下限、是否存在数据外泄、攻击者归属等，均属分析推断，通报未予确认。从行为特征看，这更像一套商业化黑产基础设施，而非有明确政治目的的 APT 活动，但两者在技术能力上高度重叠。
3. 新版已转向 HTTPS、ssl.php、jpcloud.org 与自有加密隧道，意味着任何基于旧 IOC 的检测都会快速失效。防御重心应从"封域名"转向"看行为"。
4. 本文不提供任何可执行的攻击方法，所有技术描述均服务于检测、加固与处置。

八、结论

1. 性质：这不是普通流氓软件，而是一个已规模化在线、具备内核级能力与自愈机制的可远程控制终端集群，应按安全事件而非软件投诉处理。
2. 风险：当前用于广告与捆绑推广，但其能力可随时平移到任何用途；控制通道的存在本身就是最大风险，与当前"用途"无关。
3. 处置：确认感染即视为受控主机，隔离—取证—重装—改密，不要尝试手工删除。
4. 防御：IOC 排查管短期，Secure Boot + 内存完整性 + 应用白名单 + 最小权限 + 行为检测才是长期解。

本文为独立安全分析，事实部分引自上述公开通报，研判与建议部分为作者观点。