קובץ שסומן כנוזקה נמצא בארכיון הדרייברים הרשמי של מחשבי Geekom

משתמש Reddit התריע לראשונה על ארכיון דרייברים של Geekom. ב-15 באוגוסט 2026 הורידה VideoCardz את החבילה ישירות מאתר החברה ואימתה באופן עצמאי שהקובץ החשוד עדיין נמצא בתוכה. בהמשך אישרה Geekom שהקובץ אוחסן בתשתית התמיכה שלה, התנצלה והסירה את המשאבים הישנים שנפגעו.

הראיות הקיימות מצדיקות להתייחס אל מתקין התוכנה כאל קובץ שאסור להפעיל. עם זאת, הן אינן מוכיחות ש-Geekom הפיצה את הנוזקה בכוונה, אינן מסבירות כיצד הקובץ הגיע לשרתים שלה, ואינן קובעות כמה משתמשים הפעילו אותו או מה בדיוק ביצע במחשבים שלהם.

איזה קובץ נמצא בארכיון?

שם קובץ ההרצה הוא:

Install_PCIE_Win11_11.10.0720.2022_11222022.exe

הוא נמצא בתיקיית דרייבר ה-LAN, כלומר דרייבר לחיבור הרשת, בתוך ארכיון משותף שיועד לשישה משפחות דגמים של מחשבי Mini PC מבוססי AMD:

• A7
• A8
• AE7
• AE8
• AX7 Pro
• AX8 Pro

הקובץ לא סומן רק על ידי מוצר אבטחה יחיד. VideoCardz בדקה אותו באמצעות FileScan.IO, MetaDefender ו-VirusTotal. גם YARAify דיווח על זיהויים של ClamAV, בהם Malware.Agentb ושתי חתימות הקשורות ל-Asruex, כולל Win.Trojan.Asruex. דיווחים הקשורים לאותו hash של הקובץ מתוארכים כבר לדצמבר 2024.

ריבוי זיהויים הוא סיבה מספקת שלא להפעיל את הקובץ, גם אם תוצאות של סורקים לבדן אינן מוכיחות את מלוא ההתנהגות שלו ואינן שוללות לחלוטין אפשרות של זיהוי שגוי. בדיווחים הקיימים לא נקבע כמה משתמשים נפגעו ולא פורסם ניתוח טכני מלא של פעולות הקובץ לאחר הפעלתו.

מדוע הפעלת מתקין דרייבר עלולה להיות מסוכנת?

מתקיני דרייברים בדרך כלל מבקשים הרשאות מנהל מערכת. אם הקובץ החשוד אכן זדוני, הרשאות כאלה עלולות לאפשר לו לבצע שינויים עמוקים במערכת, לגשת לנתונים, להתקין רכיבים נוספים או לשנות הגדרות אבטחה. Tom’s Hardware הזהירה במיוחד מכך שנוזקה המוטמעת במתקין דרייבר עלולה לקבל הרשאות ברמת מנהל.

זהו תיאור של הסיכון האפשרי — לא הוכחה שהקובץ המסוים ביצע את כל הפעולות הללו בפועל. לכן אין סיבה "לבדוק אותו" באופן עצמאי, גם לא על מחשב חלופי.

מה Geekom מסרה?

Geekom אמרה שהמתקין נשאר בעמוד תמיכה ישן לאחר שהחברה החליפה את מערכת התמיכה שלה במערכת חדשה. אף שהעמוד כבר לא הופיע בניווט הרגיל באתר, המשאב הישן נותר נגיש דרך קישורים שעדיין נסרקו ואונדקסו במנועי חיפוש.

החברה מסרה כי בדיקה פנימית לא מצאה חריגה דומה בעמודי הדרייברים הנוכחיים. לדבריה, הבעיה אינה משפיעה על חומרת Geekom או על מערכת Windows שהותקנה מראש במחשבי ה-Mini PC שלה. Geekom הוסיפה כי היא מסירה את הקבצים והעמודים הישנים ומחמירה את הנהלים לניהול ולבדיקה של משאבים באתר.

Geekom גם ביקשה מ-VideoCardz לשקול הסרה של הדיווח המקורי. האתר סירב, בטענה שהטענה המרכזית שלו נכונה: הקובץ היה ניתן להורדה מהתשתית הרשמית של Geekom, והחברה עצמה אישרה זאת.

עם זאת, שאלה מרכזית נותרה ללא מענה: Geekom לא הסבירה כיצד קובץ שסומן כנוזקה נכנס לארכיון או כיצד נשאר זמין בשרתיה. ההסבר על עמוד התמיכה הישן מסביר מדוע ניתן היה להגיע לקובץ, אך לא מה היה מקורו הראשוני.

מה צריכים לעשות משתמשים שהורידו את החבילה?

אם הורדתם את הארכיון או אם המתקין עדיין נמצא במחשב, ההמלצות של Geekom ברורות:

1. אל תפעילו את הקובץ. מחקו כל עותק מקומי שטרם הופעל.
2. סרקו את המחשב באמצעות Windows Security, Microsoft Defender או כלי אמין אחר נגד נוזקות, במיוחד אם הקובץ הופעל.
3. התקינו מחדש את דרייבר הרשת דרך Windows Update, ממקור רשמי של יצרן הרכיב, או מעמודי התמיכה העדכניים של Geekom — ולא מהארכיון הישן.
4. שקלו התקנה נקייה של Windows אם הקובץ הופעל, או אם אתם מעוניינים בתגובה המחמירה ביותר. Tom’s Hardware המליצה, ככל האפשר, על מחיקה מלאה של המערכת והתקנה מחדש, ובמינימום על סריקה לא מקוונת של Defender.

חשוב להבחין בין הורדת הארכיון לבין הפעלת המתקין. עצם הורדת קובץ מאפשרת למחוק אותו בלי שהדבר מוכיח שהמחשב נפרץ; הפעלתו היא האירוע שעלול היה להעניק לו הרשאות מוגברות במערכת.

במה המקרה שונה מפרשת AceMagic?

המקרה של Geekom עוסק בקובץ הרצה שהיה זמין להורדה בתוך ארכיון ישן של דרייבר LAN. הוא אינו זהה לאירוע שבו נוזקה נמצאה בתוך תמונת Windows שהותקנה מראש במחשבים חדשים. לפי הדיווחים שסופקו, מערכת Windows שהותקנה מראש במחשבי Geekom לא הושפעה; הבעיה נגעה לקובץ בתוך חבילת הדרייברים.

ההבדל הזה חשוב להערכת החשיפה: משתמשי Geekom שלא הורידו ולא הפעילו את מתקין הדרייבר הישן לא הוצגו בדיווחים שסופקו כמי שקיבלו את הקובץ דרך סביבת Windows שהותקנה מראש. מי שכן הפעיל אותו צריך לנקוט את צעדי הסריקה וההתקנה מחדש המחמירים יותר שתוארו לעיל.