CNCERT 国家互联网应急中心日前发布风险提示称，名为荐片播放器的软件内置后门程序，可在用户不知情的情况下收集设备信息、静默安装其他软件以及接收 C2 指令执行任意代码。国家互联网应急中心在 2026 年 9 月 15 日～22 日期间累计检测到境内 700,260 台设备感染，日平均上线的受控终端数量最高达到 251,880 台。
具备持久驻留和远程执行能力：
分析发现荐片播放器会通过注册表实现自启动和系统服务在后台运行，并尝试让用户在任务管理器中禁用自启动的操作失效，相关服务还会以当前登录用户身份重新启动自身，以获得更高的桌面操作权限。
程序会定期从 C2 服务器获取配置，按照服务器指令将推广软件下载到临时目录，然后再以管理员权限隐藏运行，下载的软件种类和来源地址均由服务器决定。程序还会读取硬盘序列号和网卡 MAC 地址生成设备指纹，同时记录安装渠道、推广活动编号、来源域名和安装时间等信息。
该软件内置两条独立的脚本下发通道，分别以 30 分钟和 20 分钟为周期向服务器发送请求，服务器返回特定格式的数据后，程序会直接交给脚本引擎执行，具备调用 DLL、创建 COM 对象、下载运行文件和向指定内存地址写入数据的能力。结合进程注入、内核驱动加载和内存执行，服务端可持续向受控终端投递其他程序。
主要恶意行为在新版本中仍然存在：
荐片播放器还会监听剪贴板将用户复制的部分 HTTP 或 FTP 链接替换为服务器下发的推广地址，批量修改 36 种媒体格式的默认打开方式。CNCERT 对多个版本进行对比后发现，软件虽然更换通信域名、接口和加密方式，但其自启动、静默安装、终端信息采集、剪贴板劫持、脚本执行和进程注入等主要恶意行为仍然存在。
火绒安全实验室披露的关联案例显示，该播放器安装包还可能在后台捆绑其他软件，通过进程注入和浏览器 hook 劫持用户主页，用户重新下载或更新播放器仍然会被劫持。
建议直接重装系统：
CNCERT 建议不要从非正规渠道下载捆绑推广的影视播放器，安装软件时也应该核对数字签名主体，警惕使用个人证书签名的安装程序，也需要留意安装过程中的默认勾选项 (但其实没用，荐片播放器在安装过程中可以取消勾选豆包，但取消后仍然会被安装)。
已经安装过该软件的用户应当视设备为受控主机，完成隔离和取证排查后建议重装系统以彻底清理，避免终端数据泄露以及设备成为肉鸡被黑客远程控制。
消息源：CNCERT、火绒安全
具备持久驻留和远程执行能力：
分析发现荐片播放器会通过注册表实现自启动和系统服务在后台运行，并尝试让用户在任务管理器中禁用自启动的操作失效，相关服务还会以当前登录用户身份重新启动自身，以获得更高的桌面操作权限。
程序会定期从 C2 服务器获取配置，按照服务器指令将推广软件下载到临时目录，然后再以管理员权限隐藏运行，下载的软件种类和来源地址均由服务器决定。程序还会读取硬盘序列号和网卡 MAC 地址生成设备指纹，同时记录安装渠道、推广活动编号、来源域名和安装时间等信息。
该软件内置两条独立的脚本下发通道，分别以 30 分钟和 20 分钟为周期向服务器发送请求，服务器返回特定格式的数据后，程序会直接交给脚本引擎执行，具备调用 DLL、创建 COM 对象、下载运行文件和向指定内存地址写入数据的能力。结合进程注入、内核驱动加载和内存执行，服务端可持续向受控终端投递其他程序。
主要恶意行为在新版本中仍然存在：
荐片播放器还会监听剪贴板将用户复制的部分 HTTP 或 FTP 链接替换为服务器下发的推广地址，批量修改 36 种媒体格式的默认打开方式。CNCERT 对多个版本进行对比后发现，软件虽然更换通信域名、接口和加密方式，但其自启动、静默安装、终端信息采集、剪贴板劫持、脚本执行和进程注入等主要恶意行为仍然存在。
火绒安全实验室披露的关联案例显示，该播放器安装包还可能在后台捆绑其他软件，通过进程注入和浏览器 hook 劫持用户主页，用户重新下载或更新播放器仍然会被劫持。
建议直接重装系统：
CNCERT 建议不要从非正规渠道下载捆绑推广的影视播放器，安装软件时也应该核对数字签名主体，警惕使用个人证书签名的安装程序，也需要留意安装过程中的默认勾选项 (但其实没用，荐片播放器在安装过程中可以取消勾选豆包，但取消后仍然会被安装)。
已经安装过该软件的用户应当视设备为受控主机，完成隔离和取证排查后建议重装系统以彻底清理，避免终端数据泄露以及设备成为肉鸡被黑客远程控制。
消息源：CNCERT、火绒安全
