Kyseessä oli seuraava suoritettava tiedosto:

Install_PCIE_Win11_11.10.0720.2022_11222022.exe

Tiedosto löytyi LAN-ajureille tarkoitetusta kansiosta yhteisessä pakettiarkistossa, joka oli suunnattu kuudelle AMD-pohjaiselle Geekom-malliperheelle:

• A7
• A8
• AE7
• AE8
• AX7 Pro
• AX8 Pro

Kyse ei ollut vain yhden virustorjuntaohjelman yksittäisestä varoituksesta. VideoCardz tarkisti tiedoston FileScan.IO-, MetaDefender- ja VirusTotal-palveluilla. Lisäksi YARAify ilmoitti ClamAV-tunnisteista, joihin kuuluivat Malware.Agentb sekä kaksi Asruex-tunnistetta, joista toinen oli nimeltään Win.Trojan.Asruex. Sama tiedostotiiviste oli ollut raporteissa jo joulukuussa 2024.

Useat toisistaan riippumattomat havainnot ovat riittävä syy olla suorittamatta tiedostoa. Pelkät skanneritulokset eivät silti kerro täydellisesti tiedoston toiminnasta eivätkä täysin sulje pois väärää positiivista tunnistusta. Saatavilla olevissa raporteissa ei ole vahvistettu uhrien määrää tai esitetty kattavaa teknistä analyysiä siitä, mitä tiedoston suorittamisen jälkeen tapahtui.

Miksi ajurin suorittaminen olisi vakava riski?

Ajuriasennusohjelmat tarvitsevat yleensä järjestelmänvalvojan oikeudet. Jos kyseinen tiedosto olisi haitallinen, nämä oikeudet voisivat antaa sille mahdollisuuden tehdä järjestelmätason muutoksia, asentaa lisäkomponentteja tai päästä käsiksi käyttäjän tietoihin. Tom’s Hardware varoitti, että ajuriasennukseen upotettu haittakoodi voisi saada järjestelmänvalvojan oikeudet.

Tämä on riskinarvio, ei näyttö siitä, että juuri tämä tiedosto olisi toteuttanut kaikki edellä mainitut toiminnot. Tiedostoa ei siksi kannata kokeilla edes erillisellä tai vanhalla tietokoneella.

Geekomin selitys: vanha tukisivu jäi verkkoon

Geekomin mukaan asennusohjelma jäi saataville vanhalle tukisivulle sen jälkeen, kun yhtiö oli korvannut aiemman tukijärjestelmän uudemmalla. Sivu ei enää kuulunut verkkosivuston normaaliin navigointiin, mutta vanha resurssi oli edelleen tavoitettavissa hakukoneiden indeksoimien linkkien kautta.

Yhtiö kertoi tarkistaneensa nykyiset ajurisivunsa eikä löytäneensä niiltä vastaavaa poikkeamaa. Geekomin mukaan ongelma ei koskenut sen laitteistoa eikä mini-PC:iden mukana esiasennettua Windows-käyttöjärjestelmää. Yhtiö ilmoitti poistavansa vanhat tiedostot ja sivut sekä tiukentavansa resurssienhallinnan ja tarkistusten käytäntöjä.

Geekom pyysi myös VideoCardzia harkitsemaan alkuperäisen jutun poistamista. VideoCardz kieltäytyi, koska sen keskeinen väite piti paikkansa: tiedosto oli ladattavissa Geekomin omasta infrastruktuurista, ja yhtiö vahvisti tämän myöhemmin itse.

Yksi olennainen kysymys on edelleen vailla vastausta. Geekom ei ole kertonut, miten haittaohjelmaksi merkitty suoritettava tiedosto päätyi ajuriarkistoon tai miksi se säilyi palvelimilla. Selitys vanhasta tukisivusta kertoo, miksi tiedosto oli edelleen saatavilla, mutta ei sitä, mistä tiedosto alun perin oli peräisin.

Mitä käyttäjän kannattaa tehdä?

Jos olet ladannut kyseisen arkiston tai tietokoneellasi on edelleen asennusohjelma, turvallisin toimintatapa on seuraava:

1. Älä suorita tiedostoa. Poista kaikki paikalliset kopiot, joita ei ole vielä avattu tai suoritettu.
2. Tarkista tietokone Windowsin suojauksella, Microsoft Defenderillä tai muulla luotettavalla haittaohjelmien torjuntatyökalulla, jos tiedosto on ladattu tai suoritettu.
3. Hanki verkkoajuri uudelleen Windows Updaten, komponentin valmistajan virallisen lähteen tai Geekomin nykyisten tukisivujen kautta. Älä käytä vanhaa ajuriarkistoa.
4. Harkitse Windowsin puhdasta asennusta, jos suoritit asennusohjelman tai haluat toimia mahdollisimman varovaisesti. Tom’s Hardware suositteli mahdollisuuksien mukaan koko järjestelmän tyhjentämistä ja vähintään Defenderin offline-tarkistusta.

On tärkeää erottaa toisistaan arkiston lataaminen ja asennusohjelman suorittaminen. Ladatun mutta avaamattoman tiedoston voi poistaa ilman, että tietokoneen vaarantumisesta on näyttöä. Suorittaminen on se vaihe, jossa ohjelma olisi voinut saada laajennetut oikeudet järjestelmään.

Eri asia kuin AceMagic-tapaus

Geekomin tapauksessa kyse oli ladattavasta suoritettavasta tiedostosta vanhassa LAN-ajuriarkistossa. Tapaus ei ole sama kuin AceMagicin yhteydessä raportoitu tehdasasennettuun Windows-levykuvaan liittynyt haittaohjelmaongelma. Saatavilla olevien tietojen mukaan Geekomin mini-PC:iden mukana esiasennettu Windows ei ollut tässä tapauksessa ongelman piirissä.

Ero vaikuttaa suoraan riskin arviointiin. Käyttäjien, jotka eivät ladanneet tai suorittaneet vanhaa ajuriasennusohjelmaa, ei toimitettujen raporttien perusteella osoitettu saaneen kyseistä tiedostoa tietokoneensa esiasennetun Windows-ympäristön kautta. Jos asennusohjelma kuitenkin suoritettiin, edellä mainitut kattavat tarkistukset ja tarvittaessa puhdas uudelleenasennus ovat perusteltuja varotoimia.

Kyseessä oli seuraava suoritettava tiedosto:

Install_PCIE_Win11_11.10.0720.2022_11222022.exe

Tiedosto löytyi LAN-ajureille tarkoitetusta kansiosta yhteisessä pakettiarkistossa, joka oli suunnattu kuudelle AMD-pohjaiselle Geekom-malliperheelle:

• A7
• A8
• AE7
• AE8
• AX7 Pro
• AX8 Pro

Kyse ei ollut vain yhden virustorjuntaohjelman yksittäisestä varoituksesta. VideoCardz tarkisti tiedoston FileScan.IO-, MetaDefender- ja VirusTotal-palveluilla. Lisäksi YARAify ilmoitti ClamAV-tunnisteista, joihin kuuluivat Malware.Agentb sekä kaksi Asruex-tunnistetta, joista toinen oli nimeltään Win.Trojan.Asruex. Sama tiedostotiiviste oli ollut raporteissa jo joulukuussa 2024.

Useat toisistaan riippumattomat havainnot ovat riittävä syy olla suorittamatta tiedostoa. Pelkät skanneritulokset eivät silti kerro täydellisesti tiedoston toiminnasta eivätkä täysin sulje pois väärää positiivista tunnistusta. Saatavilla olevissa raporteissa ei ole vahvistettu uhrien määrää tai esitetty kattavaa teknistä analyysiä siitä, mitä tiedoston suorittamisen jälkeen tapahtui.

Miksi ajurin suorittaminen olisi vakava riski?

Ajuriasennusohjelmat tarvitsevat yleensä järjestelmänvalvojan oikeudet. Jos kyseinen tiedosto olisi haitallinen, nämä oikeudet voisivat antaa sille mahdollisuuden tehdä järjestelmätason muutoksia, asentaa lisäkomponentteja tai päästä käsiksi käyttäjän tietoihin. Tom’s Hardware varoitti, että ajuriasennukseen upotettu haittakoodi voisi saada järjestelmänvalvojan oikeudet.

Tämä on riskinarvio, ei näyttö siitä, että juuri tämä tiedosto olisi toteuttanut kaikki edellä mainitut toiminnot. Tiedostoa ei siksi kannata kokeilla edes erillisellä tai vanhalla tietokoneella.

Geekomin selitys: vanha tukisivu jäi verkkoon

Geekomin mukaan asennusohjelma jäi saataville vanhalle tukisivulle sen jälkeen, kun yhtiö oli korvannut aiemman tukijärjestelmän uudemmalla. Sivu ei enää kuulunut verkkosivuston normaaliin navigointiin, mutta vanha resurssi oli edelleen tavoitettavissa hakukoneiden indeksoimien linkkien kautta.

Yhtiö kertoi tarkistaneensa nykyiset ajurisivunsa eikä löytäneensä niiltä vastaavaa poikkeamaa. Geekomin mukaan ongelma ei koskenut sen laitteistoa eikä mini-PC:iden mukana esiasennettua Windows-käyttöjärjestelmää. Yhtiö ilmoitti poistavansa vanhat tiedostot ja sivut sekä tiukentavansa resurssienhallinnan ja tarkistusten käytäntöjä.

Geekom pyysi myös VideoCardzia harkitsemaan alkuperäisen jutun poistamista. VideoCardz kieltäytyi, koska sen keskeinen väite piti paikkansa: tiedosto oli ladattavissa Geekomin omasta infrastruktuurista, ja yhtiö vahvisti tämän myöhemmin itse.

Yksi olennainen kysymys on edelleen vailla vastausta. Geekom ei ole kertonut, miten haittaohjelmaksi merkitty suoritettava tiedosto päätyi ajuriarkistoon tai miksi se säilyi palvelimilla. Selitys vanhasta tukisivusta kertoo, miksi tiedosto oli edelleen saatavilla, mutta ei sitä, mistä tiedosto alun perin oli peräisin.

Mitä käyttäjän kannattaa tehdä?

Jos olet ladannut kyseisen arkiston tai tietokoneellasi on edelleen asennusohjelma, turvallisin toimintatapa on seuraava:

1. Älä suorita tiedostoa. Poista kaikki paikalliset kopiot, joita ei ole vielä avattu tai suoritettu.
2. Tarkista tietokone Windowsin suojauksella, Microsoft Defenderillä tai muulla luotettavalla haittaohjelmien torjuntatyökalulla, jos tiedosto on ladattu tai suoritettu.
3. Hanki verkkoajuri uudelleen Windows Updaten, komponentin valmistajan virallisen lähteen tai Geekomin nykyisten tukisivujen kautta. Älä käytä vanhaa ajuriarkistoa.
4. Harkitse Windowsin puhdasta asennusta, jos suoritit asennusohjelman tai haluat toimia mahdollisimman varovaisesti. Tom’s Hardware suositteli mahdollisuuksien mukaan koko järjestelmän tyhjentämistä ja vähintään Defenderin offline-tarkistusta.

On tärkeää erottaa toisistaan arkiston lataaminen ja asennusohjelman suorittaminen. Ladatun mutta avaamattoman tiedoston voi poistaa ilman, että tietokoneen vaarantumisesta on näyttöä. Suorittaminen on se vaihe, jossa ohjelma olisi voinut saada laajennetut oikeudet järjestelmään.

Eri asia kuin AceMagic-tapaus

Geekomin tapauksessa kyse oli ladattavasta suoritettavasta tiedostosta vanhassa LAN-ajuriarkistossa. Tapaus ei ole sama kuin AceMagicin yhteydessä raportoitu tehdasasennettuun Windows-levykuvaan liittynyt haittaohjelmaongelma. Saatavilla olevien tietojen mukaan Geekomin mini-PC:iden mukana esiasennettu Windows ei ollut tässä tapauksessa ongelman piirissä.

Ero vaikuttaa suoraan riskin arviointiin. Käyttäjien, jotka eivät ladanneet tai suorittaneet vanhaa ajuriasennusohjelmaa, ei toimitettujen raporttien perusteella osoitettu saaneen kyseistä tiedostoa tietokoneensa esiasennetun Windows-ympäristön kautta. Jos asennusohjelma kuitenkin suoritettiin, edellä mainitut kattavat tarkistukset ja tarvittaessa puhdas uudelleenasennus ovat perusteltuja varotoimia.