一个看片工具，竟悄悄控制了七十万台电脑

走狗是狗哥
走狗是狗哥

安在

2026年10月12日 19:50
上海

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

**10月9日，国家互联网应急中心（CNCERT）发布一则风险提示，把一款不少人眼熟的免费软件推上了风口浪尖——荐片播放器Windows端。

通报措辞并不温和：该程序内置后门，可在用户完全不知情的情况下采集终端信息、下载运行其他程序，并接收服务端指令执行任意代码。

它带来的风险，是终端被远程控制、个人信息泄露。而规模，远比一次普通的软件报毒更触目惊心。**

一个看片工具，怎么变成了遥控器

表面上，它做的是影视播放。但据通报分析，它借由注册表自启动项和系统服务，长期在后台悄悄运行。

背地里，它能静默安装第三方软件，采集终端指纹与行为数据，还会篡改剪贴板里的内容。用户关了播放器，它的手脚也没停。

更关键的是两条独立的通信通道。它们定期联系服务端，把下发的脚本拉回本机执行，形成遥控闭环。

为了让这条通道持续畅通，它还用上了进程注入、内核驱动加载和内存执行——这些词听着硬核，意思是：藏得深、难查杀。

服务端因此能持续向终端投递、运行任意程序。今天它只是推点软件，明天就可能换成别的，主动权从不在用户手里。

七天，七十万台：被低估的传染速度

时间线压得很紧。据监测，仅2026年9月15日至22日这短短一周，境内就有七十万零二百六十台设备被感染。

峰值那天，单日同时上线、听候指挥的受控终端高达二十五万一千八百八十台。这不是零星散毒，而是一次成规模的批量沦陷。

如此整齐划一的爆发曲线，往往指向批量装机渠道。舆论很快把目光投向网吧、电竞酒店这类成百上千台机器统一部署的场所。

在这些场景里，一台中招往往意味着成排机器同病相怜。它的危害也随之从个人财产，升级成了公共网络空间的系统性隐患。

为什么卸载两个字根本不够

最容易被误导的，是我把它删了就行。可据分析，它的部分模块即使被删除，还能自行联网下载、重新装回来。

这就是双通道与内核驱动的用意所在：一条通道被掐断，另一条立刻补上；常驻服务和驱动则让它在系统里根深蒂固。

正因如此，官方对彻底处置的建议相当严厉——确认中招后，简单卸载并不保险，严重情况下甚至需要重装系统才能干净。

换句话说，这不是一个拖进回收站就能翻篇的小麻烦，而是一次需要认真对待的应急清理。

剪贴板这条暗线，离钱包最近

在一堆技术名词里，篡改剪贴板听起来最不起眼，实则最贴近普通人的钱袋子。

用户复制一段转账地址或一个下载链接，它在后台悄悄替换成自己的版本。粘贴出去时，人眼几乎无从察觉差异。

这正是黑产成熟的获利手法：不偷密码，只在最后一步调包，把流量和资金引向自己的地盘。

再叠加静默安装与指纹采集，一条流量劫持—广告变现—数据倒卖的产业链，就靠一个免费播放器悄悄跑了起来。

免费好用，往往藏着最贵的账

回过头看，这起事件并不新鲜，却足够典型。它卖的不是软件，是用户图省事、贪免费的心理。

长期以来，大量用户习惯从非官方渠道下载绿色免费工具，装机时一路点下一步，对后台在运行什么毫无感知。

而批量装机渠道的放大效应，让一次静默安装从个人选择，变成了几十万人共同承担的风险。

值得注意的是，通报特别点明这是内置后门——从一开始，它就是冲着控制终端去的，而非后期被第三方篡改。

这意味着，光靠事后杀毒软件被动等待，已经跟不上这种出厂即带病的分发方式。

普通人与单位，现在该做什么

CNCERT此次同步公布了相关排查指标（IOC）与处置建议，供广大用户和有关单位对照自查。

对个人而言，装过这款软件的Windows用户，应尽快卸载并全盘扫描，必要时按官方建议彻底重装，别只图删个图标了事。

对网吧、电竞酒店、企业这类批量终端，更要逐台核查，盯紧自启动项、陌生服务和外联通道，断网清理后再恢复联网。

更长远的习惯同样要紧：只从官方渠道下载软件，安装时看清每一步授权，剪贴板粘贴前多扫一眼内容。

一个播放器能用七天放倒七十万台设备，说明防线的最薄弱处，从来不是高深的漏洞，而是人人都图省事的那扇门。

**END

点击这里阅读原文**