Le fichier au centre de l’alerte

L’exécutable porte le nom suivant :

Install_PCIE_Win11_11.10.0720.2022_11222022.exe

Il se trouvait dans le dossier consacré au pilote réseau — ou LAN — d’une archive commune destinée à six familles de mini-PC Geekom équipés de processeurs AMD :

• A7
• A8
• AE7
• AE8
• AX7 Pro
• AX8 Pro

Le fichier n’a pas été signalé par un seul antivirus. VideoCardz l’a analysé avec FileScan.IO, MetaDefender et VirusTotal. YARAify a également fait remonter des détections ClamAV, notamment Malware.Agentb et deux signatures liées à Asruex, dont Win.Trojan.Asruex. Des signalements concernant le même hash remontaient déjà à décembre 2024.

Ces détections provenant de plusieurs outils indépendants suffisent à justifier de ne pas lancer le fichier. Elles ne constituent pas, à elles seules, une analyse exhaustive de son comportement et n’excluent pas absolument l’hypothèse d’un faux positif. Les informations disponibles n’établissent ni le nombre de victimes ni les actions réellement effectuées après l’exécution.

Pourquoi l’exécution pouvait être risquée

Un installateur de pilotes demande généralement des droits administrateur. Si l’exécutable était effectivement malveillant, ces privilèges auraient pu lui permettre de modifier le système, d’accéder à certaines données ou d’installer d’autres composants avec un niveau de contrôle élevé. Tom’s Hardware a notamment averti qu’un malware intégré à un installateur de pilotes pouvait obtenir des autorisations administrateur.

Il s’agit d’une évaluation du risque, et non de la preuve que ce fichier a réalisé toutes ces actions. Il est donc déconseillé de le tester, y compris sur un ordinateur secondaire.

La réponse de Geekom

Geekom affirme que l’installateur était resté disponible sur une ancienne page d’assistance après le remplacement de son système de support par une plateforme plus récente. La page n’était plus accessible depuis la navigation habituelle du site, mais l’ancienne ressource restait atteignable via des liens indexés par les moteurs de recherche.

Après vérification, la marque dit n’avoir trouvé aucune anomalie comparable sur ses pages actuelles de pilotes. Elle précise également que le problème ne concernait ni le matériel Geekom ni le système Windows préinstallé sur ses mini-PC.

Le fabricant a présenté ses excuses, annoncé le retrait des anciens fichiers et des anciennes pages concernés, et promis de renforcer ses procédures de gestion et de vérification des ressources.

Geekom a par ailleurs demandé à VideoCardz d’envisager le retrait de son article initial. Le média a refusé, estimant que son affirmation centrale restait exacte : le fichier était téléchargeable depuis l’infrastructure officielle de Geekom, ce que l’entreprise a confirmé.

Une question importante reste sans réponse : Geekom n’a pas expliqué comment cet exécutable signalé comme malveillant a été ajouté à l’archive ni pourquoi il est resté disponible sur ses serveurs. L’explication liée à l’ancienne page indique pourquoi le fichier pouvait encore être téléchargé, mais pas quelle est son origine.

Que doivent faire les utilisateurs concernés ?

Si vous avez téléchargé l’archive ou si vous possédez encore l’installateur, les recommandations sont les suivantes :

1. Ne lancez pas l’exécutable. Supprimez toute copie locale qui n’a pas été exécutée.
2. Analysez l’ordinateur avec Sécurité Windows, Microsoft Defender ou un autre outil antimalware fiable si le fichier a été téléchargé ou lancé.
3. Réinstallez le pilote réseau via Windows Update, depuis la source officielle du fabricant du composant ou depuis les pages actuelles d’assistance de Geekom, et non depuis l’ancienne archive.
4. Envisagez une réinstallation propre de Windows si l’installateur a été exécuté ou si vous souhaitez adopter l’approche la plus prudente. Tom’s Hardware recommande, lorsque cela est possible, un effacement complet du système, ou au minimum une analyse hors ligne avec Microsoft Defender.

La distinction essentielle est celle entre le téléchargement et l’exécution. Un fichier téléchargé peut être supprimé sans que cela prouve que l’ordinateur a été compromis. En revanche, son exécution est l’étape qui pouvait lui donner des privilèges élevés sur le système.

Un cas différent de l’incident AceMagic de 2024

L’affaire Geekom concerne un exécutable téléchargeable, présent dans une ancienne archive de pilotes LAN. Elle ne correspond pas à un malware intégré à l’image Windows installée en usine : selon les informations disponibles, le système préinstallé sur les mini-PC Geekom n’était pas concerné.

Cette différence change l’évaluation de l’exposition. Les utilisateurs qui n’ont jamais téléchargé ni exécuté l’ancien installateur n’ont pas été identifiés, dans les informations fournies, comme ayant reçu ce fichier via l’environnement Windows préinstallé de leur machine. Ceux qui l’ont exécuté doivent en revanche appliquer les précautions renforcées — analyse approfondie et, si nécessaire, réinstallation complète — décrites ci-dessus.

Le fichier au centre de l’alerte

L’exécutable porte le nom suivant :

Install_PCIE_Win11_11.10.0720.2022_11222022.exe

Il se trouvait dans le dossier consacré au pilote réseau — ou LAN — d’une archive commune destinée à six familles de mini-PC Geekom équipés de processeurs AMD :

• A7
• A8
• AE7
• AE8
• AX7 Pro
• AX8 Pro

Le fichier n’a pas été signalé par un seul antivirus. VideoCardz l’a analysé avec FileScan.IO, MetaDefender et VirusTotal. YARAify a également fait remonter des détections ClamAV, notamment Malware.Agentb et deux signatures liées à Asruex, dont Win.Trojan.Asruex. Des signalements concernant le même hash remontaient déjà à décembre 2024.

Ces détections provenant de plusieurs outils indépendants suffisent à justifier de ne pas lancer le fichier. Elles ne constituent pas, à elles seules, une analyse exhaustive de son comportement et n’excluent pas absolument l’hypothèse d’un faux positif. Les informations disponibles n’établissent ni le nombre de victimes ni les actions réellement effectuées après l’exécution.

Pourquoi l’exécution pouvait être risquée

Un installateur de pilotes demande généralement des droits administrateur. Si l’exécutable était effectivement malveillant, ces privilèges auraient pu lui permettre de modifier le système, d’accéder à certaines données ou d’installer d’autres composants avec un niveau de contrôle élevé. Tom’s Hardware a notamment averti qu’un malware intégré à un installateur de pilotes pouvait obtenir des autorisations administrateur.

Il s’agit d’une évaluation du risque, et non de la preuve que ce fichier a réalisé toutes ces actions. Il est donc déconseillé de le tester, y compris sur un ordinateur secondaire.

La réponse de Geekom

Geekom affirme que l’installateur était resté disponible sur une ancienne page d’assistance après le remplacement de son système de support par une plateforme plus récente. La page n’était plus accessible depuis la navigation habituelle du site, mais l’ancienne ressource restait atteignable via des liens indexés par les moteurs de recherche.

Après vérification, la marque dit n’avoir trouvé aucune anomalie comparable sur ses pages actuelles de pilotes. Elle précise également que le problème ne concernait ni le matériel Geekom ni le système Windows préinstallé sur ses mini-PC.

Le fabricant a présenté ses excuses, annoncé le retrait des anciens fichiers et des anciennes pages concernés, et promis de renforcer ses procédures de gestion et de vérification des ressources.

Geekom a par ailleurs demandé à VideoCardz d’envisager le retrait de son article initial. Le média a refusé, estimant que son affirmation centrale restait exacte : le fichier était téléchargeable depuis l’infrastructure officielle de Geekom, ce que l’entreprise a confirmé.

Une question importante reste sans réponse : Geekom n’a pas expliqué comment cet exécutable signalé comme malveillant a été ajouté à l’archive ni pourquoi il est resté disponible sur ses serveurs. L’explication liée à l’ancienne page indique pourquoi le fichier pouvait encore être téléchargé, mais pas quelle est son origine.

Que doivent faire les utilisateurs concernés ?

Si vous avez téléchargé l’archive ou si vous possédez encore l’installateur, les recommandations sont les suivantes :

1. Ne lancez pas l’exécutable. Supprimez toute copie locale qui n’a pas été exécutée.
2. Analysez l’ordinateur avec Sécurité Windows, Microsoft Defender ou un autre outil antimalware fiable si le fichier a été téléchargé ou lancé.
3. Réinstallez le pilote réseau via Windows Update, depuis la source officielle du fabricant du composant ou depuis les pages actuelles d’assistance de Geekom, et non depuis l’ancienne archive.
4. Envisagez une réinstallation propre de Windows si l’installateur a été exécuté ou si vous souhaitez adopter l’approche la plus prudente. Tom’s Hardware recommande, lorsque cela est possible, un effacement complet du système, ou au minimum une analyse hors ligne avec Microsoft Defender.

La distinction essentielle est celle entre le téléchargement et l’exécution. Un fichier téléchargé peut être supprimé sans que cela prouve que l’ordinateur a été compromis. En revanche, son exécution est l’étape qui pouvait lui donner des privilèges élevés sur le système.

Un cas différent de l’incident AceMagic de 2024

L’affaire Geekom concerne un exécutable téléchargeable, présent dans une ancienne archive de pilotes LAN. Elle ne correspond pas à un malware intégré à l’image Windows installée en usine : selon les informations disponibles, le système préinstallé sur les mini-PC Geekom n’était pas concerné.

Cette différence change l’évaluation de l’exposition. Les utilisateurs qui n’ont jamais téléchargé ni exécuté l’ancien installateur n’ont pas été identifiés, dans les informations fournies, comme ayant reçu ce fichier via l’environnement Windows préinstallé de leur machine. Ceux qui l’ont exécuté doivent en revanche appliquer les précautions renforcées — analyse approfondie et, si nécessaire, réinstallation complète — décrites ci-dessus.