> ## Content Index
> Fetch the complete content index at: https://www.yooku.com/llms.txt
> Use this file to discover other available public pages before exploring further.

# 当"免费播放器"变成可编程僵尸网络
- URL: https://www.yooku.com/dang-mian-fei-bo-fang-qi-bian-cheng-ke-bian-cheng-jiang-shi-wang-luo/
- Published: 2026-10-12T02:46:47.000Z
- Updated: 2026-10-12T10:10:23.000Z
- Author: Master

## ——对"荐片播放器"内置后门事件的安全分析

> **分析对象**：CNCERT 关于"荐片播放器"Windows端内置后门功能的公开风险提示  
> **资料来源**：国家互联网应急中心（CNCERT）  
> **文档类型**：独立安全分析报告  
> **整理时间**：基于 2026 年 10 月公开通报

**摘要**：2026年9月中下旬，国家互联网应急中心（CNCERT）在为期一周的监测窗口内，累计发现境内70万余台设备感染"荐片播放器"Windows端恶意程序，日上线受控终端峰值达251,880台。本文基于CNCERT通报文本，从持久化、权限维持、命令控制、无文件执行与抗清除等维度还原该样本的技术底座，评估其真实威胁等级，并给出可落地的检测、处置与治理建议。

**核心判断**：这已不是一款"捆绑推广的流氓软件"，而是一张**已被点亮、保留内核级权限与任意代码执行能力、具备自愈能力的终端执行网络**。它的表层商业模式是流量变现，但其技术能力与APT级工具链高度重叠。威胁等级不应按"广告软件"评估，而应按"受控主机群体事件"处置。

## 一、事件概要（通报事实）

- **对象**：来自"荐片影视"所谓官方地址 www.jianpian.com（非国内合法备案网站）的"荐片播放器"Windows端程序。
- **能力构成**：在提供影视播放功能的同时，通过注册表自启动项和系统服务驻留；具备静默安装第三方软件、采集终端指纹与行为数据、篡改剪贴板内容等功能。
- **控制通道**：内置两条独立通信通道，定期接收并执行服务端下发脚本，结合进程注入、内核驱动加载、内存执行能力，实现持续载荷投递。
- **感染规模**：2026年9月15日至22日，累计监测到境内 **700,260 台**设备感染，**日上线受控终端最高 251,880 台**。
- **版本演进**：新旧版本虽更换了通信域名、接口与加密方式，但脚本下发、信息采集、进程注入等核心恶意行为未变。
- **时间线**：CNCERT 通报于2026年10月上旬公开；界面新闻10月9日转载，广州医科大学信息与数据管理中心10月10日面向全校师生转发排查提示。

## 二、数据怎么读：规模背后是"常备执行集群"

把两个数字放在一起看，比单看总量更有意义：

| 指标    | 数值        | 安全含义              |
| ----- | --------- | ----------------- |
| 周累计感染 | 700,260 台 | 存量装机基数巨大          |
| 日上线峰值 | 251,880 台 | 单日约 36% 的存量设备同时在线 |

一周窗口内、每天有二十多万台设备主动回连，意味着这不是"装完就废弃"的一次性木马，而是一个**长期在线、可被服务端随时调度的执行集群**。从攻防角度看，这类集群的价值不在"感染了多少台"，而在"能同时指挥多少台"——25万并发终端的调度能力，已经超过绝大多数黑产团伙的常规需求，属于典型的基础设施化运营。

同时必须指出口径问题：所谓"感染"通常基于**回连遥测**。位于企业内网、被防火墙阻断、NAT后未触发上报、或已卸载但残留的设备，都不在统计内。因此 **700,260 应视为下限而非上限**，真实暴露面大概率更大。

## 三、技术剖析：六层能力如何拼成一台"远程控制平台"

通报披露的模块与行为，可以还原出一条相当完整的攻防链。

![](https://www.yooku.com/content/images/2026/10/946A93301ADC3F44E0E15A95BC1_88030B43_14791.png)

### 1\. 驻留：双保险 + 反禁用

- 核心库 jianpianer.dll 将自身写入 HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\JIANPIAN，键值附带 --windowstate=hide source=autorun，登录后**无界面隐藏自启**。
- 同步操作 StartupApproved\\Run 项，使用户在任务管理器中点击"禁用"**失效**——这是对系统管理入口的直接对抗。
- Jp\_Update.exe 被安装为开机自启系统服务 Jp\_Update，形成第二重、权限更高的持久化。

**分析**：单点清除（删Run键）无法去除服务，删服务也去不掉Run键，二者构成互备。这种设计明显针对"用户自己动手清理"和"轻量级安全软件"两类场景。

![](https://www.yooku.com/content/images/2026/10/76.png)

### 2\. 提权与身份切换：为什么要"回到桌面"

服务启动后，Jp\_Update 会获取当前登录用户令牌，**以该用户身份在用户桌面重新启动自身**。

**分析**：这是 Windows Vista 以后 Session 0 隔离机制下的必然选择——系统服务无法直接操作用户桌面、浏览器、剪贴板和弹窗。攻击者先借服务拿到 SYSTEM 级启动权，再"降维"回到用户会话，从而获得完整的桌面交互能力。这一设计说明开发者对 Windows 权限模型相当熟悉，并非脚本拼接的低水平样本。

### 3\. 命令与控制：双通道心跳 + "00"开关

| 通道  | 主体               | 周期      | 地址                                                                                                                          |
| --- | ---------------- | ------- | --------------------------------------------------------------------------------------------------------------------------- |
| 通道一 | jianpianhelp.dll | 每 30 分钟 | [http://jptongji.域名.com:8002/ssl.asp?ver=1.2.3.30](http://jptongji.xn--com-q33er8o:8002/ssl.asp?ver=1.2.3.30&ref=yooku.com) |
| 通道二 | Jp\_Update 服务    | 每 20 分钟 | http://jptongji.<域名>:8002/ssl.asp?ver=4.0.1（默认 jianpiantongji.x-app.one）                                                    |

服务端返回内容**开头两字符为 00** 时，整段内容即被内置脚本引擎（MSScriptControl，JavaScript）**当作代码直接执行**。

**分析**：

- 双通道、双周期互为备份，封堵其一仍有一条在跑，防御方必须同时覆盖 20 分钟和 30 分钟两种节律。
- 固定周期、缺少随机抖动（jitter），反而是检测的抓手：周期性 POST 是最容易被流量侧识别的 C2 特征之一。
- MSScriptControl（msscript.ocx）本是微软的脚本宿主组件，被直接用作 C2 执行引擎，属于"合法组件武器化"（LOLBins 思路）。脚本还注册了 callapi、HashCls 等桥接函数，可**调用任意 DLL 函数、创建任意 COM 对象、下载运行任意文件、向指定内存地址写入数据**。
- 结论：**这段脚本本身就是一把 RAT**。服务端只要能下发 JS，就等同于在目标机上拥有任意代码执行权。

### 4\. 执行：无文件 + 内核驱动

- 下发内容按文件头分流：标准 PE 文件在**内存中映射执行**；自定义 CODE 头的数据块被复制到**可读写可执行（RWX）内存**后直接调用——**任意程序无需落盘即可运行**。
- 模块内嵌 **BlackBone** 注入框架，可向 32/64 位进程注入代码，并加载 **BlackBoneDrv7-10.sys 内核驱动**（驱动运行时从服务器下载）。

**分析**：BlackBone 是公开可得的开源进程注入框架，攻击者直接内嵌而非自研，说明其思路是"复用现成能力、快速产品化"，这类样本的迭代速度会很快。而内核驱动的引入，意味着攻击面从用户态跃升到内核态：**EDR 的部分用户态钩子可能被绕过，普通清理手段也可能被对抗**。

不过，**能否成功加载该驱动存在前提条件**：在开启 Secure Boot、内存完整性（HVCI/Core Isolation）并启用微软易受攻击驱动阻止列表的终端上，未签名或信誉不良驱动的加载会失败。**这恰恰是最有效的预防性防线之一**（详见第六节）。此处为分析推断，通报未披露驱动的签名方式与加载成功率。

### 5\. 变现：不止是广告

- **静默装软件**：jianpianer.dll 定时请求 https://pconfig.<域名>/svr\_optns/config.php（主 jianpiancloud.com，备 jphwapi.com），解析返回的**21 个控制字段**，据此下载第三方安装包到 %TEMP%（随机文件名），再以\*\*管理员权限（runas）+ 完全隐藏窗口（nShow=0）\*\*运行，全程无感知。**装什么、从哪装，全由服务器决定。**
- **剪贴板劫持**：后台监听剪贴板，把用户复制的 HTTP://、FTP:// 开头链接**静默替换为推广链接**；若替换结果是 m3u8 视频源则自动拉起播放。
- **文件关联劫持**：FileSuite.exe 以管理员权限把**36 种媒体格式**的默认打开方式批量改写为自家播放器，**包括覆盖用户已选定的 UserChoice 项**。
- **广告弹窗**：地址、内容与弹出节奏由 config.php 字段控制；广告页通过内嵌浏览器开放的本机接口，可获得**写文件、创建组件、触发下载、读取本机指纹**等执行能力。

**分析**：

- 剪贴板劫持的本意是导流，但技术上等价于**任意链接替换**。一旦被用于替换软件下载地址、支付链接或加密钱包地址，就构成典型的下游供应链攻击面——用户"明明复制的是官网，粘贴出来的却是别处"。这是本事件中最容易被低估的风险点。
- 媒体文件关联覆盖 UserChoice，形成"入口锁定"，使软件难以被彻底边缘化，也进一步提高了清除成本。
- 21 个服务端控制字段，说明这是一个**可远程配置、按需下发**的推广分发平台，具备完整的业务参数体系。

### 6\. 抗清除：让它"删不干净、封不彻底"

- **IP 直连**：Jp\_Update 每轮回连时把域名动态解析为 IP 并直接以 IP 请求，减少 DNS 暴露面。
- **远程换域名**：服务端可通过注册表 HKCU\\SOFTWARE\\JIANPIAN 下的 main\_domain（通道二为 main domain）值**远程更换回传域名**。
- **DoH 加密解析**：核心库对配置与广告类域名采用 DoH 解析，规避传统 DNS 审计。
- **自修复**：jianpianhelp.dll 内置修复逻辑，模块文件被删除后，可经 http://web.<域名>:8000/mini/repair.asp **重新下载安装**。

**分析**：这四条合起来构成了完整的韧性设计——**删文件会被重装，封域名可远程换，看 DNS 走加密，抓流量走 IP 直连**。这意味着"发现即删文件"这种处置方式在该样本面前基本无效，必须按"受控主机"处理。

### 7\. 版本演进：基础设施在迁移

通报披露的最新版本已做如下升级：

| 维度   | 旧版本                               | 新版本                                      |
| ---- | --------------------------------- | ---------------------------------------- |
| 回传协议 | HTTP                              | 全部加密为 HTTPS                              |
| 脚本通道 | http://jptongji.<域名>:8002/ssl.asp | https://jptongji.<域名>/ssl.php            |
| 控制域名 | jianpiancloud.com、x-app.one 等     | 整体迁移至 jpcloud.org 域名族                    |
| 网络栈  | 系统组件                              | 自带 libcurl + 新增加密流量隧道                    |
| 恶意行为 | —                                 | **隐藏自启、静默安装、指纹采集、剪贴板劫持、脚本下发执行、进程注入全部保留** |

**分析**：这是一次**基础设施层迁移**而非功能升级。换成 HTTPS + 自有网络库 + 加密隧道后，基于明文特征、旧域名和固定 UA 的检测规则会迅速失效。**依赖 IOC 的防御在这个样本上只能管一周**，行为检测与终端加固才是长期解。

## 四、ATT&CK 映射与检测点

| 环节   | 技术（ATT&CK）           | 本事件证据                       | 检测重点                  |
| ---- | -------------------- | --------------------------- | --------------------- |
| 初始访问 | T1204.002 用户执行       | 用户主动下载安装"官方"播放器             | 下载来源管控、签名主体核验         |
| 持久化  | T1547.001 注册表 Run 键  | Run\\JIANPIAN               | HKCU Run 键新增项         |
| 持久化  | T1543.003 Windows 服务 | Jp\_Update 服务               | 非 IT 创建的服务、可疑服务路径     |
| 防御规避 | T1562.001 / T1112    | 改写 StartupApproved\\Run     | 该键被非系统进程写入            |
| 提权   | T1134.001 令牌窃取       | 服务获取登录用户令牌                  | 服务派生桌面进程              |
| 执行   | T1059.007 JS         | MSScriptControl 执行回传内容      | 非浏览器进程加载 msscript.ocx |
| 隐蔽执行 | T1620 / T1055        | PE 内存映射、RWX 内存、BlackBone 注入 | RWX 私有内存、跨进程注入        |
| 内核   | T1014 / T1543.003    | BlackBoneDrv7-10.sys 运行时下载  | 驱动加载事件、可疑 .sys 落地     |
| 发现   | T1082 / T1016        | C 盘卷序列号 + 首块物理网卡 MAC        | 指纹采集型注册表读取            |
| 影响   | T1115 剪贴板            | 链接静默替换                      | 剪贴板写入方与浏览器不一致         |
| 影响   | T1546.001 文件关联       | 36 种格式、覆盖 UserChoice        | 批量关联改写                |
| C2   | T1071.001 / T1571    | ssl.asp、8002 端口             | 固定周期 POST、非常规端口       |
| C2   | T1008 后备通道           | 双通道、域名远程更换                  | 同一主机多周期心跳             |
| C2   | T1071.004 DoH        | 配置/广告域名 DoH 解析              | 非企业 DNS 的 DoH 流量      |
| 传输   | T1105                | repair.asp 重新下载模块           | 已删除模块的反复重建            |

## 五、风险推演：今天是广告，明天可能是任何东西

这是本文最重要的一节。判断一个恶意程序的危险程度，不能只看它**现在做什么**，而要看它**具备了做什么的能力**。

1. **能力已就位，用途可切换。** 任意代码执行 + 内存无文件运行 + 内核驱动 + 25 万并发在线终端，这套组合本身与勒索软件投放、DDoS 僵尸网络、挖矿、间谍窃密所需的能力**完全重合**。当前只用于推广告、装软件，是商业选择，不是技术限制。
2. **控制权可能易主。** C2 域名、config.php 控制接口、main\_domain 可远程改写——一旦服务端被第三方入侵、域名到期被抢注、或基础设施被整体出售/出租，这 70 万台设备会在**一轮心跳周期内**（20\~30 分钟）接收新指令。攻击者不需要重新感染任何一台机器。
3. **渠道归因数据暴露了组织化程度。** 程序会在 wkeStorage 目录留存推广活动编号、安装渠道、来源域名、安装时间。这些字段是**分账依据**，说明背后存在推广联盟/CPA 分发体系。对防御方是威胁情报，对执法方则是**资金链与溯源的关键抓手**。
4. **机构网络被动暴露。** 该软件面向个人消费终端，但个人设备会接入校园网、医院内网、企业办公网。广州医科大学面向全校发布排查提示，正是因为这个逻辑——**风险入口在个人终端，影响半径却在机构内网**。

## 六、处置与防护建议

### （一）已被感染的终端：按"受控主机"处置，不要只删文件

1. **网络隔离**：立即断开有线/无线，停止其与控制端的进一步通信。
2. **不要直接手工删除后继续使用**：该样本具备自修复能力，删文件大概率被重新下载。恢复出厂或重装系统是唯一可靠的清除路径。
3. **凭据轮换**：样本以登录用户身份在桌面运行，具备读取用户环境的能力。重装后**务必更换该用户在本机保存过的重要账号密码、浏览器凭据与令牌**。
4. **排查横向影响**：检查同网段、同账户、同批次终端是否存在相同 IOC，评估是否已发生横向移动。
5. **保留取证**：在清除前留存内存镜像、进程列表、网络连接、注册表导出与日志，用于本单位影响范围认定与上报。

### （二）IOC 排查清单（依据通报内容整理）

**注册表**

- HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\JIANPIAN
- HKLM\\SOFTWARE\\JianPianPlayer\\PCCode
- HKCU\\SOFTWARE\\JIANPIAN（重点看 main\_domain / main domain）
- ...\\Explorer\\StartupApproved\\Run 中的对应项

**服务与驱动**

- 服务 Jp\_Update
- 内核驱动 BlackBone\* / BlackBoneDrv7-10.sys

**文件**

- 安装目录下的 jianpianer.dll、jianpianhelp.dll、Jp\_Update.exe、FileSuite.exe
- %APPDATA%\\jianpianhelp\\
- %TEMP% 下随机命名的可执行文件
- 本地存储目录 wkeStorage

**网络**

- 域名族：jianpiancloud.com、jphwapi.com、x-app.one、jpcloud.org（及 jptongji.*、pconfig.*、web.\* 子域）
- 特征：8002 端口、ssl.asp / ssl.php 路径的周期性 POST（**20 分钟与 30 分钟两种节律**）
- 异常：IP 直连但 Host 与 IP 不匹配、非企业 DNS 的 DoH 解析、新增加密隧道流量

> 说明：公开通报未附带样本哈希、完整域名/IP 清单与驱动签名信息。实际封禁前，建议向 CNCERT 或安全厂商获取最新 IOC，并结合本单位的网络流量特征做二次确认。

### （三）终端与网络加固（预防性，价值高于排查）

- **开启 Secure Boot 与内存完整性（HVCI/Core Isolation）**，启用微软易受攻击驱动阻止列表——直接针对本样本的内核驱动加载环节。
- **应用白名单**：通过 WDAC / AppLocker 限制非授权程序运行，可有效阻断"服务端下发什么就运行什么"。
- **最小权限**：日常办公禁用管理员账户，限制未知程序提权（runas）运行；部署 LAPS 管理本地管理员口令。
- **监控关键系统入口**：Run 键与 StartupApproved 写入、服务创建、内核驱动加载、msscript.ocx 被非浏览器进程加载、批量文件关联改写。
- **DNS 与出口策略**：强制企业 DNS、限制或审计 DoH、封禁非常规 C2 端口。
- **来源治理**：软件统一从受管应用商店分发；明确禁止从下载站、网盘、"官方下载"类聚合页获取软件；推广类安装包需核验签名主体。

### （四）机构层面（高校、医院、政企）

- 组织开展**全校/全网排查**，优先覆盖学生宿舍、实验室、机房与外包人员终端。
- 建立**影子 IT 与终端资产台账**，明确"个人设备接入内网"的边界与合规要求。
- 对接行业应急组织（教育行业可依托 CERNET/EDU-CERT，其他行业对接 CNCERT 及行业 CERT），同步 IOC 与处置口径。
- 对"影视/下载/破解类"应用建立常态化风险告知与拦截策略。

### （五）产业与监管侧

- **分发渠道**：搜索结果与下载站长期以"官方""正版"字样为高风险软件导流，建议建立与安全厂商的恶意样本快速下架联动。
- **基础设施处置**：jianpiancloud.com、x-app.one、jpcloud.org 等域名族应联动注册商、云厂商与 CDN 进行处置；但需注意攻击者已展示出**域名快速迁移能力**，处置应为持续过程。
- **签名体系**：通报提示"警惕以个人证书签名的安装程序"，说明签名信誉审查仍需加强，应推动签名主体核验与代码签名滥用通报机制。
- **安全产品**：EDR 厂商需强化对**脚本宿主滥用、内存无文件执行、可疑内核驱动加载、剪贴板异常写入**的检测能力，而非仅依赖文件哈希。

## 七、本次情报的局限性与研判边界

作为独立分析，有必要明确结论的适用边界：

1. 本文事实基础为 CNCERT 公开通报及其转载文本，**未接触样本本体**，技术细节以通报描述为准。
2. 关于驱动能否加载、感染规模是否为下限、是否存在数据外泄、攻击者归属等，均属**分析推断**，通报未予确认。从行为特征看，这更像一套**商业化黑产基础设施**，而非有明确政治目的的 APT 活动，但两者在技术能力上高度重叠。
3. 新版已转向 HTTPS、ssl.php、jpcloud.org 与自有加密隧道，意味着**任何基于旧 IOC 的检测都会快速失效**。防御重心应从"封域名"转向"看行为"。
4. 本文不提供任何可执行的攻击方法，所有技术描述均服务于检测、加固与处置。

## 八、结论

1. **性质**：这不是普通流氓软件，而是一个**已规模化在线、具备内核级能力与自愈机制的可远程控制终端集群**，应按安全事件而非软件投诉处理。
2. **风险**：当前用于广告与捆绑推广，但其能力可随时平移到任何用途；控制通道的存在本身就是最大风险，与当前"用途"无关。
3. **处置**：确认感染即视为受控主机，**隔离—取证—重装—改密**，不要尝试手工删除。
4. **防御**：IOC 排查管短期，**Secure Boot + 内存完整性 + 应用白名单 + 最小权限 + 行为检测**才是长期解。

*本文为独立安全分析，事实部分引自上述公开通报，研判与建议部分为作者观点。*