近期，监测发现内置后门功能的恶意软件“荐片播放器”正在互联网大范围传播。该软件以影视播放功能为伪装，实为集静默捆绑安装、终端信息采集、远程控制、广告推广非法变现于一体的黑产基础设施客户端：可在用户无感知状态下强制安装第三方推广软件；批量采集终端指纹与行为数据；通过两条独立通道分别每30分钟、20分钟向服务器轮询，接收并执行服务端下发的任意代码；同时具备向任意进程注入代码、加载内核驱动、在内存中直接运行任意程序的能力。

一、防范建议

1.全面排查感染终端，及时清除恶意程序。按IoC排查注册表Run键JIANPIAN、SOFTWARE\JIANPIAN键、服务Jp_Update与BlackBone、安装目录及%APPDATA%\jianpianhelp\下的可疑模块、%TEMP%目录中的随机名可执行文件。确认感染终端应视为受控主机，隔离排查后建议重装系统。

2.封堵恶意域名与IP，阻断回传通信。在边界安全设备上封禁IoC；重点监测对jptongji.jianpiancloud.com:8002/ssl.asp等8002端口、ssl.asp地址的周期性POST请求（每30分钟、20分钟两个周期）。

3.规范软件获取渠道，防范捆绑安装。不从非正规渠道下载安装捆绑推广的影视播放器类软件；下载软件时核对数字签名主体，警惕以个人证书签名的安装程序；留意安装过程中默认勾选的捆绑选项。

4.强化终端防护与权限管控。开启终端防护软件实时防护并保持病毒库更新；遵循最小权限原则，不使用管理员账户日常办公，限制未知程序以管理员权限运行；及时安装系统与常用软件安全补丁。

5.加强日常安全监测与审计。定期巡检终端自启动项、系统服务、进程与网络连接，关注剪贴板内容被替换、文件关联被篡改等异常现象；留存终端与边界网络日志，为影响范围认定和溯源处置提供依据。

二、相关IoC

样本SHA256：

2C976B8D99E5BBBB2D1E073D10FF311D3190A8E1D1A772A7E60ABB2C3D25AB69

11BF146FA88FC20835B44371915C581202431799094DDC59F35D0D5BAC94ACCE

D51889A1B794FD5E00111745B63D731999E42ED9B8F530C69CDC371FD3EAFE2D

DDF4EF9AD9F93D4F345F9B923B5DC91712D77FFC68592510CA7BFCF88E24996D

2E0EF1472F8DC0431D8A4619E49EE240A1A02BBD28455668D5710CA427E8EEB9

7222D26BEE974BE94033CC29C2025881F84B3F9B23F99B45848E61FD2A77EDCA

953D6871D3033BF21A5829B4B0F6A9E0F5F1978159E39DB25931C7873CD658BF

672A497B219AC5979C159CE0FDA33B4147ADDD0FE8EE3ED2F17080E6828C3E58

21DD44ABBADF3CFE5327410C034758DFEDB9EF387A2826714B94AC5954E5DCB9

IP:

45.117.8[.]37

45.120.103[.]111

34.150.19[.]222

DOMAIN:

jptongji.jianpiancloud[.]com

jianpiantongji.x-app[.]one

pconfig.jianpiancloud[.]com

media.jianpiancloud[.]com

web.jianpiancloud[.]com

jphwapi[.]com

pchwjiasu.abkc4[.]com

pchwjiasu.arykoyq[.]com

jptongji.jpcloud[.]org

pconfig.jpcloud[.]org

media.jpcloud[.]org

web.jpcloud[.]org

www.jpcloud[.]org

URL:

http[:]//jptongji.jianpiancloud.com:8002/ssl.asp?ver=1.2.3.30

http[:]//jptongji.jianpiantongji.x-app.one:8002/ssl.asp?ver=4.0.1

https[:]//jptongji.jpcloud.org/ssl.php?src=svc&ver=5.0.0.1

https[:]//jptongji.jpcloud.org/ssl.php?src=dll&ver=5.0.0.1

https[:]//jptongji.jpcloud.org/api/v1/client-event

https[:]//pconfig.jianpiancloud.com:8000/svr_optns/config.php

https[:]//pconfig.jpcloud.org/svr_optns/config.php

http[:]//pconfig.jianpiancloud.com:8000/svr_optns/logstat/stat

http[:]//media.jianpiancloud.com:8000/index.php?s=Home-Api-jscode-key-m3u8

http[:]//web.jianpiancloud.com:8000/mini/repair.asp?state=repair

https[:]//web.jpcloud.org/mini/repair.php?state=repair

https[:]//pconfig.jpcloud.org/download/jianpian_setup.exe