Podejrzany plik nosił nazwę:

Install_PCIE_Win11_11.10.0720.2022_11222022.exe

Znajdował się w folderze ze sterownikiem LAN, czyli oprogramowaniem obsługującym połączenie sieciowe, we wspólnym archiwum przeznaczonym dla sześciu rodzin mini-PC Geekom z układami AMD:

• A7
• A8
• AE7
• AE8
• AX7 Pro
• AX8 Pro

Nie był to przypadek pojedynczego ostrzeżenia jednego programu antywirusowego. VideoCardz sprawdził plik za pomocą usług FileScan.IO, MetaDefender i VirusTotal. Serwis YARAify przekazał również wyniki detekcji ClamAV, w tym Malware.Agentb oraz dwa wykrycia związane z rodziną Asruex, z których jedno miało nazwę Win.Trojan.Asruex. Zgłoszenia dotyczące tego samego hasha pojawiały się już w grudniu 2024 roku.

Wiele niezależnych detekcji to wystarczający powód, by nie uruchamiać instalatora. Same wyniki skanerów nie pokazują jednak pełnego zachowania pliku i nie wykluczają absolutnie możliwości fałszywego alarmu. Dostępne materiały nie określają również liczby potencjalnie poszkodowanych użytkowników ani nie przedstawiają kompletnej analizy technicznej skutków uruchomienia programu.

Dlaczego uruchomienie instalatora mogło być groźne?

Instalatory sterowników zwykle wymagają uprawnień administratora. Gdyby wskazany plik był złośliwy, takie uprawnienia mogłyby pozwolić mu na wprowadzanie uprzywilejowanych zmian w systemie, uzyskanie dostępu do danych lub doinstalowanie kolejnych komponentów. Tom’s Hardware ostrzegł, że malware ukryty w instalatorze sterownika mógłby otrzymać właśnie taki poziom dostępu.

To jednak ocena potencjalnego ryzyka, a nie dowód, że ten konkretny plik wykonał wszystkie wymienione działania. Z tego powodu nie należy uruchamiać go nawet „na próbę” na zapasowym komputerze.

Co wyjaśnił Geekom?

Geekom poinformował, że instalator pozostał dostępny na nieaktualnej stronie wsparcia po zastąpieniu starszego systemu obsługi nowszym. Strona nie była już częścią standardowej nawigacji witryny, ale starszy zasób nadal można było otworzyć za pośrednictwem linków zaindeksowanych przez wyszukiwarki.

Firma przekazała, że podczas przeglądu aktualnych stron ze sterownikami nie znalazła podobnych nieprawidłowości. Według Geekom problem nie dotyczył sprzętu ani systemu Windows preinstalowanego na mini-PC. Producent zapowiedział usunięcie starszych plików i stron oraz zaostrzenie procedur zarządzania zasobami i ich weryfikacji.

Geekom poprosił także VideoCardz o rozważenie usunięcia pierwotnego artykułu. Redakcja odmówiła, argumentując, że kluczowe twierdzenie materiału było prawdziwe: plik można było pobrać z infrastruktury należącej do Geekom, a firma potwierdziła ten fakt.

Nadal pozostaje jednak istotne pytanie: Geekom nie wyjaśnił, jak oznaczany jako malware plik trafił do archiwum ani dlaczego znalazł się na serwerach firmy. Wyjaśnienie dotyczące starej strony tłumaczy, czemu instalator wciąż był dostępny, ale nie wskazuje jego pierwotnego pochodzenia.

Co powinni zrobić użytkownicy?

Jeśli pobraliście archiwum lub nadal macie ten instalator na komputerze, zalecane kroki są następujące:

1. Nie uruchamiajcie pliku. Usuńcie każdą lokalną kopię, która nie została jeszcze otwarta.
2. Przeskanujcie komputer za pomocą Zabezpieczeń Windows, Microsoft Defendera lub innego zaufanego narzędzia antymalware, jeśli plik został pobrany lub uruchomiony.
3. Zainstalujcie sterownik sieciowy z bezpiecznego źródła — najlepiej przez Windows Update, z oficjalnej strony producenta komponentu albo z aktualnej strony wsparcia Geekom, a nie ze starego archiwum.
4. Rozważcie czystą instalację Windows, jeśli instalator został uruchomiony lub chcecie zastosować najbardziej ostrożne rozwiązanie. Tom’s Hardware zalecał w miarę możliwości pełne wymazanie systemu, a co najmniej skanowanie offline programem Defender.

Najważniejsze jest rozróżnienie między pobraniem archiwum a uruchomieniem instalatora. Samo pobranie pliku nie oznacza jeszcze, że komputer został zainfekowany — można go usunąć bez przesądzania o naruszeniu systemu. To uruchomienie programu mogło doprowadzić do przyznania mu podwyższonych uprawnień.

Czym ta sprawa różni się od incydentu AceMagic?

Sprawa Geekom dotyczy pliku wykonywalnego dostępnego do pobrania w archiwum starszych sterowników LAN. Nie jest to to samo co incydent związany ze złośliwym oprogramowaniem obecnym w fabrycznie zainstalowanym obrazie Windows. Dostępne informacje wskazują, że system operacyjny preinstalowany na mini-PC Geekom nie był objęty tym problemem.

Różnica ma znaczenie przy ocenie ryzyka. Użytkownicy Geekom, którzy nie pobrali ani nie uruchomili starego instalatora, nie zostali — na podstawie dostarczonych materiałów — wskazani jako osoby, które otrzymały ten plik wraz z fabrycznym środowiskiem Windows. Ci, którzy go uruchomili, powinni zastosować dokładniejsze skanowanie i rozważyć reinstalację systemu.

Podejrzany plik nosił nazwę:

Install_PCIE_Win11_11.10.0720.2022_11222022.exe

Znajdował się w folderze ze sterownikiem LAN, czyli oprogramowaniem obsługującym połączenie sieciowe, we wspólnym archiwum przeznaczonym dla sześciu rodzin mini-PC Geekom z układami AMD:

• A7
• A8
• AE7
• AE8
• AX7 Pro
• AX8 Pro

Nie był to przypadek pojedynczego ostrzeżenia jednego programu antywirusowego. VideoCardz sprawdził plik za pomocą usług FileScan.IO, MetaDefender i VirusTotal. Serwis YARAify przekazał również wyniki detekcji ClamAV, w tym Malware.Agentb oraz dwa wykrycia związane z rodziną Asruex, z których jedno miało nazwę Win.Trojan.Asruex. Zgłoszenia dotyczące tego samego hasha pojawiały się już w grudniu 2024 roku.

Wiele niezależnych detekcji to wystarczający powód, by nie uruchamiać instalatora. Same wyniki skanerów nie pokazują jednak pełnego zachowania pliku i nie wykluczają absolutnie możliwości fałszywego alarmu. Dostępne materiały nie określają również liczby potencjalnie poszkodowanych użytkowników ani nie przedstawiają kompletnej analizy technicznej skutków uruchomienia programu.

Dlaczego uruchomienie instalatora mogło być groźne?

Instalatory sterowników zwykle wymagają uprawnień administratora. Gdyby wskazany plik był złośliwy, takie uprawnienia mogłyby pozwolić mu na wprowadzanie uprzywilejowanych zmian w systemie, uzyskanie dostępu do danych lub doinstalowanie kolejnych komponentów. Tom’s Hardware ostrzegł, że malware ukryty w instalatorze sterownika mógłby otrzymać właśnie taki poziom dostępu.

To jednak ocena potencjalnego ryzyka, a nie dowód, że ten konkretny plik wykonał wszystkie wymienione działania. Z tego powodu nie należy uruchamiać go nawet „na próbę” na zapasowym komputerze.

Co wyjaśnił Geekom?

Geekom poinformował, że instalator pozostał dostępny na nieaktualnej stronie wsparcia po zastąpieniu starszego systemu obsługi nowszym. Strona nie była już częścią standardowej nawigacji witryny, ale starszy zasób nadal można było otworzyć za pośrednictwem linków zaindeksowanych przez wyszukiwarki.

Firma przekazała, że podczas przeglądu aktualnych stron ze sterownikami nie znalazła podobnych nieprawidłowości. Według Geekom problem nie dotyczył sprzętu ani systemu Windows preinstalowanego na mini-PC. Producent zapowiedział usunięcie starszych plików i stron oraz zaostrzenie procedur zarządzania zasobami i ich weryfikacji.

Geekom poprosił także VideoCardz o rozważenie usunięcia pierwotnego artykułu. Redakcja odmówiła, argumentując, że kluczowe twierdzenie materiału było prawdziwe: plik można było pobrać z infrastruktury należącej do Geekom, a firma potwierdziła ten fakt.

Nadal pozostaje jednak istotne pytanie: Geekom nie wyjaśnił, jak oznaczany jako malware plik trafił do archiwum ani dlaczego znalazł się na serwerach firmy. Wyjaśnienie dotyczące starej strony tłumaczy, czemu instalator wciąż był dostępny, ale nie wskazuje jego pierwotnego pochodzenia.

Co powinni zrobić użytkownicy?

Jeśli pobraliście archiwum lub nadal macie ten instalator na komputerze, zalecane kroki są następujące:

1. Nie uruchamiajcie pliku. Usuńcie każdą lokalną kopię, która nie została jeszcze otwarta.
2. Przeskanujcie komputer za pomocą Zabezpieczeń Windows, Microsoft Defendera lub innego zaufanego narzędzia antymalware, jeśli plik został pobrany lub uruchomiony.
3. Zainstalujcie sterownik sieciowy z bezpiecznego źródła — najlepiej przez Windows Update, z oficjalnej strony producenta komponentu albo z aktualnej strony wsparcia Geekom, a nie ze starego archiwum.
4. Rozważcie czystą instalację Windows, jeśli instalator został uruchomiony lub chcecie zastosować najbardziej ostrożne rozwiązanie. Tom’s Hardware zalecał w miarę możliwości pełne wymazanie systemu, a co najmniej skanowanie offline programem Defender.

Najważniejsze jest rozróżnienie między pobraniem archiwum a uruchomieniem instalatora. Samo pobranie pliku nie oznacza jeszcze, że komputer został zainfekowany — można go usunąć bez przesądzania o naruszeniu systemu. To uruchomienie programu mogło doprowadzić do przyznania mu podwyższonych uprawnień.

Czym ta sprawa różni się od incydentu AceMagic?

Sprawa Geekom dotyczy pliku wykonywalnego dostępnego do pobrania w archiwum starszych sterowników LAN. Nie jest to to samo co incydent związany ze złośliwym oprogramowaniem obecnym w fabrycznie zainstalowanym obrazie Windows. Dostępne informacje wskazują, że system operacyjny preinstalowany na mini-PC Geekom nie był objęty tym problemem.

Różnica ma znaczenie przy ocenie ryzyka. Użytkownicy Geekom, którzy nie pobrali ani nie uruchomili starego instalatora, nie zostali — na podstawie dostarczonych materiałów — wskazani jako osoby, które otrzymały ten plik wraz z fabrycznym środowiskiem Windows. Ci, którzy go uruchomili, powinni zastosować dokładniejsze skanowanie i rozważyć reinstalację systemu.