片還沒開演，「薦片播放器」先把七十萬臺電腦看光了

深夜想追一部正版平臺要會員的劇，搜尋框敲進「免費看片 播放器」，下載站前排結果裡有一款叫「薦片播放器」。安裝，打開，片源確實齊全，更新甚至比正版還勤。使用者以為省下一筆會員費，直到 10 月 9 日國家互聯網應急中心（CNCERT）發布風險提示，這款 Windows 軟體的另一份工作才被翻出來：內建後門，可在使用者不知情的情況下採集終端資訊、下載並執行其他程式。境內監測到的感染規模，超過七十萬臺。

八天七十萬臺，先看這張網織得多大

官方公告給出的數字相當具體：9 月 15 日至 22 日的八天裡，CNCERT 累計監測到境內 700,260 臺設備感染，單日上線的受控終端最高達 251,880 臺。這個量級放進任何一座城市，都夠坐滿好幾輪體育場。

從通報的防範建議反推，這類軟體主要靠下載站與捆綁推廣鋪貨，搜尋引擎是第一站。而把通報裡的行為清單翻成白話，這款播放器在背景裡的工作包括：

• 透過登錄檔自啟動項與系統服務常駐後臺，開機就上工
• 靜默安裝第三方軟體，跳過使用者的同意
• 採集終端指紋與行為數據，機器配備與使用習慣一併入帳
• 竄改剪貼簿內容
• 以兩條獨立通道定期接收伺服器端下發的腳本，配合行程注入、核心驅動載入與記憶體執行，遠端可持續向這臺機器投放程式

官方還比對了多個版本：通信域名、接口與加密方式都調整過，腳本下發、終端資訊採集、行程注入這些主要行為卻一路都在。介面改了版，生意沒有換。

剪貼簿那一手，離普通人的錢包最近

整份通報裡，一般人最該看懂的是「竄改剪貼簿」。剪貼簿是複製與貼上之間的中轉站，平日搬文字、搬網址、搬帳號。一旦被惡意程式接管，複製的內容和貼上的內容可以是兩回事：抄下收款帳號要轉帳，貼出去的號碼已經換過；複製錢包地址要出金，地址在中途被調包。這類手法在加密貨幣詐騙裡流傳多年，多數人是錢送出去之後才察覺。

再往深一層，「接收伺服器端指令執行任意程式碼」這一行，意味著一臺電腦接下來做什麼，主人未必有最終決定權。這種定期回家打卡的連線，既是控制通道，也是防守方收網的把手。手機端有同款劇本，先前寫過的每十五秒敲一次門的 P7 DarkSword，就栽在規律的回報節奏上。

播放器的老家譜，從暴風影音排到快播

把鏡頭拉遠，影視播放器曾經是中文桌面網路的第一入口。2000 年代，RealPlayer 播不動的格式交給暴風影音，PPS 與 PPTV 把電視臺搬進工作列，迅雷負責把片子拉回硬碟。那一代播放器的共同賣點是萬能與免費，誰解碼全、誰片源多，誰就住進千萬臺電腦。

快播把這套生意推到頂點。它在 2014 年被查、2016 年開審，庭審直播期間「技術並不可恥」的辯詞與海量戲謔二創，讓這家公司以另一種方式留名。快播倒下後，正版化與付費牆一路推進，「免費看片」的需求沒有跟著退場，只是轉進更暗的巷子：網盤分享連結、下載站捆綁、進不了官方應用商店的聚合類 App。薦片播放器，是這條路上的最新一站。

名字聽起來像替你省時間，實際收走的可能是別的東西。同一段時間，官方也提示過黑產團夥用高仿釣魚網站傳播銀狐木馬；海外公開報導裡，則有駭客打著 GTA6「破解版」「測試版」名義散播惡意程式的案例。魚餌一直換，釣法沒有變。

官方排查單上，普通使用者用得起的部分

CNCERT 的防範建議主要寫給企業與管理員，濃縮之後有幾層，個人也能對照：

• 源頭把關：只從正規渠道取得影視播放器，核對安裝程式的數位簽章主體，對以個人證書簽名的安裝包保持警覺，安裝時看清預設勾選
• 感染排查：檢查登錄檔 Run 機碼 JIANPIAN、SOFTWARE\JIANPIAN 機碼、服務 Jp_Update 與 BlackBone、安裝目錄與 %APPDATA%\jianpianhelp\ 下的可疑模組、%TEMP% 裡的隨機名執行檔
• 阻斷通信：在邊界設備封禁通報列出的惡意域名與 IP，重點監測對 jptongji.jianpiancloud.com 的 8002 埠 ssl.asp 週期性 POST 請求，通報載明 30 分鐘與 20 分鐘兩個節奏。盯著異常流量做防守的思路，與掘金開發者十二天錄到五百多次敲門的蜜罐實測是同一門功課
• 日常防護：開啟防毒軟體即時防護並更新病毒碼，日常不用管理員帳戶作業，系統與常用軟體的更新按時安裝

日常巡查也值得排進行事曆：定期看一眼自啟動項、系統服務與網路連線，遇到檔案關聯被改、剪貼簿內容無故被換這類小異常，別當成電腦偶爾鬧脾氣。至於裝過這款播放器的讀者，官方態度相當直接：確認感染的終端應視為受控主機，隔離排查之後建議重灌系統。防毒軟體掃一輪顯示乾淨，不等於真的乾淨。先備份個人檔案，再讓機器回到乾淨狀態，是最省心的收尾。

免費的最貴，這張帳單總會寄到

正版平臺的會費一年年調整，搜尋「免費看片」的人只會更多。需求外溢到灰色地帶，灰色地帶自然有人收過路費，收法從廣告、捆綁安裝，一路升級到這次的後門。七十萬臺電腦的名單擺在眼前，下載那一下，撿便宜的人和被撿走資料的，很可能是同一個。

下次在搜尋框敲下「免費」「破解」「免 VIP」之前，不妨先想一秒：是你在找片源，還是片源在找你？