Il file segnalato

L’eseguibile interessato si chiama:

Install_PCIE_Win11_11.10.0720.2022_11222022.exe

Era contenuto nella cartella dedicata ai driver LAN di un archivio condiviso per sei famiglie di mini PC Geekom basati su piattaforma AMD:

• A7
• A8
• AE7
• AE8
• AX7 Pro
• AX8 Pro

Il file non è stato segnalato da un solo prodotto antivirus. VideoCardz lo ha analizzato con FileScan.IO, MetaDefender e VirusTotal; YARAify ha inoltre riportato rilevazioni ClamAV tra cui Malware.Agentb e due firme associate ad Asruex, una delle quali denominata Win.Trojan.Asruex. I report relativi allo stesso hash risalivano già al dicembre 2024.

Più rilevazioni indipendenti sono un motivo sufficiente per non avviare l’installer. Allo stesso tempo, i risultati degli scanner non descrivono da soli l’intero comportamento del file e non escludono in assoluto l’ipotesi di un falso positivo. Le informazioni disponibili non stabiliscono quanti utenti siano stati coinvolti né cosa sia accaduto dopo l’eventuale esecuzione.

Perché l’esecuzione poteva essere rischiosa

Un programma di installazione dei driver richiede normalmente autorizzazioni amministrative. Se l’eseguibile fosse stato malevolo, quel livello di accesso avrebbe potuto consentire modifiche privilegiate al sistema, l’esposizione di dati o l’installazione di ulteriori componenti. Tom’s Hardware ha sottolineato proprio il rischio legato ai permessi di amministratore che un malware inserito in un installer di driver potrebbe ottenere.

Si tratta però di una valutazione del rischio, non della prova che quel file abbia effettivamente svolto tutte queste azioni. Per questo è sconsigliabile eseguirlo anche soltanto “per vedere cosa fa” su un computer secondario.

La spiegazione di Geekom

Geekom ha dichiarato che l’installer era rimasto disponibile su una vecchia pagina di supporto dopo la sostituzione del precedente sistema con un portale più recente. La pagina non era più raggiungibile dalla normale navigazione del sito, ma la risorsa legacy restava accessibile tramite link indicizzati dai motori di ricerca.

L’azienda ha affermato che la verifica interna non ha rilevato anomalie analoghe nelle pagine attuali dei driver. Ha inoltre precisato che il problema non riguardava l’hardware Geekom né il sistema operativo Windows preinstallato sui suoi mini PC. Geekom ha dichiarato di aver rimosso i file e le pagine legacy interessati e di voler rafforzare le procedure di gestione e revisione delle risorse.

La società ha anche chiesto a VideoCardz di valutare la rimozione dell’articolo originale. La testata ha rifiutato, sostenendo che il punto centrale del reportage era corretto: il file era scaricabile dall’infrastruttura ufficiale Geekom e l’azienda aveva confermato questo fatto.

Resta però una domanda importante senza risposta: Geekom non ha spiegato come l’eseguibile segnalato come malware sia entrato nell’archivio o sia rimasto sui suoi server. Il riferimento alla vecchia pagina chiarisce perché il file fosse ancora raggiungibile, ma non quale fosse la sua provenienza originaria.

Cosa devono fare gli utenti

Chi ha scaricato l’archivio o possiede ancora l’installer dovrebbe seguire queste indicazioni:

1. Non eseguire il file. Eliminare qualsiasi copia locale che non sia stata avviata.
2. Scansionare il computer con Sicurezza di Windows, Microsoft Defender o un altro strumento antimalware affidabile se il file è stato scaricato o eseguito.
3. Reinstallare il driver di rete tramite Windows Update, dalla fonte ufficiale del produttore del componente oppure dalle pagine di supporto Geekom attuali, evitando l’archivio legacy.
4. Valutare una reinstallazione pulita di Windows se l’installer è stato eseguito o se si desidera adottare la misura più cautelativa. Tom’s Hardware ha raccomandato, quando possibile, una cancellazione completa del sistema; in alternativa, almeno una scansione offline con Defender.

La distinzione fondamentale è tra download ed esecuzione. Un file scaricato può essere cancellato senza che ciò dimostri una compromissione del computer; l’avvio dell’installer è invece l’evento che avrebbe potuto concedergli accesso elevato al sistema.

Perché non è lo stesso caso di AceMagic

Il caso Geekom riguarda un eseguibile scaricabile contenuto in un vecchio archivio di driver LAN. Non coincide con un incidente in cui il malware era presente nell’immagine Windows installata in fabbrica: secondo le informazioni disponibili, il sistema operativo preinstallato sui mini PC Geekom non era coinvolto.

La differenza incide sulla valutazione dell’esposizione. Gli utenti di un modello Geekom interessato che non hanno mai scaricato o eseguito il vecchio installer non risultano, sulla base dei dati disponibili, aver ricevuto quel file attraverso l’ambiente Windows preinstallato. Chi lo ha eseguito dovrebbe invece adottare le precauzioni più rigorose indicate sopra, inclusa la scansione approfondita e, se possibile, la reinstallazione del sistema.

Il file segnalato

L’eseguibile interessato si chiama:

Install_PCIE_Win11_11.10.0720.2022_11222022.exe

Era contenuto nella cartella dedicata ai driver LAN di un archivio condiviso per sei famiglie di mini PC Geekom basati su piattaforma AMD:

• A7
• A8
• AE7
• AE8
• AX7 Pro
• AX8 Pro

Il file non è stato segnalato da un solo prodotto antivirus. VideoCardz lo ha analizzato con FileScan.IO, MetaDefender e VirusTotal; YARAify ha inoltre riportato rilevazioni ClamAV tra cui Malware.Agentb e due firme associate ad Asruex, una delle quali denominata Win.Trojan.Asruex. I report relativi allo stesso hash risalivano già al dicembre 2024.

Più rilevazioni indipendenti sono un motivo sufficiente per non avviare l’installer. Allo stesso tempo, i risultati degli scanner non descrivono da soli l’intero comportamento del file e non escludono in assoluto l’ipotesi di un falso positivo. Le informazioni disponibili non stabiliscono quanti utenti siano stati coinvolti né cosa sia accaduto dopo l’eventuale esecuzione.

Perché l’esecuzione poteva essere rischiosa

Un programma di installazione dei driver richiede normalmente autorizzazioni amministrative. Se l’eseguibile fosse stato malevolo, quel livello di accesso avrebbe potuto consentire modifiche privilegiate al sistema, l’esposizione di dati o l’installazione di ulteriori componenti. Tom’s Hardware ha sottolineato proprio il rischio legato ai permessi di amministratore che un malware inserito in un installer di driver potrebbe ottenere.

Si tratta però di una valutazione del rischio, non della prova che quel file abbia effettivamente svolto tutte queste azioni. Per questo è sconsigliabile eseguirlo anche soltanto “per vedere cosa fa” su un computer secondario.

La spiegazione di Geekom

Geekom ha dichiarato che l’installer era rimasto disponibile su una vecchia pagina di supporto dopo la sostituzione del precedente sistema con un portale più recente. La pagina non era più raggiungibile dalla normale navigazione del sito, ma la risorsa legacy restava accessibile tramite link indicizzati dai motori di ricerca.

L’azienda ha affermato che la verifica interna non ha rilevato anomalie analoghe nelle pagine attuali dei driver. Ha inoltre precisato che il problema non riguardava l’hardware Geekom né il sistema operativo Windows preinstallato sui suoi mini PC. Geekom ha dichiarato di aver rimosso i file e le pagine legacy interessati e di voler rafforzare le procedure di gestione e revisione delle risorse.

La società ha anche chiesto a VideoCardz di valutare la rimozione dell’articolo originale. La testata ha rifiutato, sostenendo che il punto centrale del reportage era corretto: il file era scaricabile dall’infrastruttura ufficiale Geekom e l’azienda aveva confermato questo fatto.

Resta però una domanda importante senza risposta: Geekom non ha spiegato come l’eseguibile segnalato come malware sia entrato nell’archivio o sia rimasto sui suoi server. Il riferimento alla vecchia pagina chiarisce perché il file fosse ancora raggiungibile, ma non quale fosse la sua provenienza originaria.

Cosa devono fare gli utenti

Chi ha scaricato l’archivio o possiede ancora l’installer dovrebbe seguire queste indicazioni:

1. Non eseguire il file. Eliminare qualsiasi copia locale che non sia stata avviata.
2. Scansionare il computer con Sicurezza di Windows, Microsoft Defender o un altro strumento antimalware affidabile se il file è stato scaricato o eseguito.
3. Reinstallare il driver di rete tramite Windows Update, dalla fonte ufficiale del produttore del componente oppure dalle pagine di supporto Geekom attuali, evitando l’archivio legacy.
4. Valutare una reinstallazione pulita di Windows se l’installer è stato eseguito o se si desidera adottare la misura più cautelativa. Tom’s Hardware ha raccomandato, quando possibile, una cancellazione completa del sistema; in alternativa, almeno una scansione offline con Defender.

La distinzione fondamentale è tra download ed esecuzione. Un file scaricato può essere cancellato senza che ciò dimostri una compromissione del computer; l’avvio dell’installer è invece l’evento che avrebbe potuto concedergli accesso elevato al sistema.

Perché non è lo stesso caso di AceMagic

Il caso Geekom riguarda un eseguibile scaricabile contenuto in un vecchio archivio di driver LAN. Non coincide con un incidente in cui il malware era presente nell’immagine Windows installata in fabbrica: secondo le informazioni disponibili, il sistema operativo preinstallato sui mini PC Geekom non era coinvolto.

La differenza incide sulla valutazione dell’esposizione. Gli utenti di un modello Geekom interessato che non hanno mai scaricato o eseguito il vecchio installer non risultano, sulla base dei dati disponibili, aver ricevuto quel file attraverso l’ambiente Windows preinstallato. Chi lo ha eseguito dovrebbe invece adottare le precauzioni più rigorose indicate sopra, inclusa la scansione approfondita e, se possibile, la reinstallazione del sistema.