Geekom fjernet mistenkelig LAN-installasjonsprogram fra offisielt driverarkiv

En Reddit-bruker slo først alarm om et Geekom-driverarkiv. VideoCardz lastet deretter selv ned pakken fra Geekom sin nettside 15. august 2026 og fant den samme kjørbare filen i arkivet. Geekom bekreftet senere at filen hadde vært tilgjengelig fra selskapets supportinfrastruktur, beklaget og fjernet de berørte eldre ressursene.

Det tilgjengelige materialet gir god grunn til å behandle installasjonsprogrammet som utrygt. Det fastslår imidlertid ikke at Geekom med vilje distribuerte skadevare, hvordan filen havnet på selskapets servere, hvor mange som eventuelt kjørte den, eller hva den gjorde på berørte maskiner.

Filen det gjelder

Den aktuelle filen heter:

Install_PCIE_Win11_11.10.0720.2022_11222022.exe

Den lå i mappen for LAN-drivere i et delt arkiv beregnet på seks AMD-baserte Geekom-serier:

• A7
• A8
• AE7
• AE8
• AX7 Pro
• AX8 Pro

Filen ble ikke bare flagget av ett enkelt antivirusprogram. VideoCardz undersøkte den med FileScan.IO, MetaDefender og VirusTotal, mens YARAify rapporterte ClamAV-treff som Malware.Agentb og to signaturer knyttet til Asruex, hvorav én var merket Win.Trojan.Asruex. Rapporter knyttet til samme filhash går tilbake til desember 2024.

Flere uavhengige treff er tilstrekkelig grunn til å la være å kjøre installasjonsprogrammet. Samtidig beviser ikke skannerresultater alene nøyaktig hva filen gjorde, og de utelukker ikke enhver mulighet for feilaktig deteksjon. Det er heller ikke kjent hvor mange som kan ha blitt rammet, eller hva som eventuelt skjedde etter kjøring.

Derfor kan kjøring være alvorlig

Et driverinstallasjonsprogram trenger vanligvis administratorrettigheter. Dersom den aktuelle filen var skadelig, kunne den typen tilgang gjort det mulig å endre systemet med høye privilegier, få tilgang til data eller installere flere komponenter. Tom’s Hardware advarte spesifikt om at skadevare i et driverinstallasjonsprogram kan få administratorrettigheter.

Dette er en vurdering av risikoen ved å kjøre filen – ikke dokumentasjon på at akkurat denne filen utførte alle disse handlingene. Det tryggeste er derfor å ikke teste den, heller ikke på en reserve-PC.

Geekom peker på en gammel supportsiden

Geekom sier at installasjonsprogrammet ble liggende på en utdatert supportside etter at selskapet erstattet det gamle supportsystemet med et nytt. Selv om siden ikke lenger var tilgjengelig via den vanlige navigasjonen, kunne den fortsatt nås gjennom lenker som var indeksert av søkemotorer.

Selskapet opplyser at en gjennomgang ikke fant tilsvarende avvik på de nåværende driversidene. Geekom sier også at verken maskinvaren eller Windows-installasjonen som var forhåndsinstallert på mini-PC-ene, var berørt. De eldre filene og sidene skulle fjernes, samtidig som selskapet ville stramme inn rutinene for håndtering og gjennomgang av supportressurser.

Geekom ba også VideoCardz vurdere å trekke den opprinnelige saken. VideoCardz avslo, med henvisning til at hovedpåstanden var korrekt: Filen kunne lastes ned fra Geekom sin egen infrastruktur, noe selskapet også bekreftet.

Et sentralt spørsmål står likevel ubesvart. Geekom har ikke forklart hvordan den malware-flaggete filen havnet i arkivet eller kunne bli liggende på serverne. Forklaringen om den gamle supportsiden beskriver hvorfor filen fortsatt var tilgjengelig, men ikke hvor den opprinnelig kom fra.

Dette bør berørte brukere gjøre

Har du lastet ned arkivet, eller har du fortsatt installasjonsprogrammet på PC-en, er rådet enkelt:

1. Ikke kjør filen. Slett lokale kopier som ikke har blitt kjørt.
2. Skann PC-en med Windows Sikkerhet, Microsoft Defender eller et annet anerkjent antimalware-verktøy dersom filen ble lastet ned eller kjørt.
3. Installer nettverksdriveren på nytt via Windows Update, fra komponentleverandørens offisielle nettsted eller fra Geekom sine nåværende supportsider – ikke fra det gamle arkivet.
4. Vurder en ren Windows-installasjon dersom installasjonsprogrammet ble kjørt, eller dersom du ønsker den mest forsiktige løsningen. Tom’s Hardware anbefalte full sletting og nyinstallasjon der det er mulig, med en frakoblet Defender-skanning som et minimumstiltak.

Det er viktig å skille mellom å laste ned arkivet og å kjøre installasjonsprogrammet. En nedlastet fil kan slettes uten at det dermed er bevist at PC-en er kompromittert. Det er kjøringen som potensielt kan ha gitt programmet utvidede rettigheter.

Ikke det samme som AceMagic-saken

Geekom-saken gjelder en kjørbar fil i et nedlastbart, eldre LAN-driverarkiv. Den må ikke blandes sammen med en hendelse der skadevare var inkludert i et fabrikklevert Windows-system. Den tilgjengelige rapporteringen sier uttrykkelig at Geekom sine forhåndsinstallerte Windows-miljøer ikke var berørt.

Forskjellen er viktig når man vurderer risikoen. Brukere som aldri lastet ned eller kjørte det gamle driverinstallasjonsprogrammet, er ikke gjennom materialet som er lagt frem, vist å ha fått den flaggete filen via Windows-miljøet som fulgte med maskinen. De som faktisk kjørte den, bør følge de strengere rådene om skanning og eventuell nyinstallasjon.