Den låg i LAN-mappen i ett gemensamt drivrutinsarkiv för sex AMD-baserade mini-PC-serier:

• A7
• A8
• AE7
• AE8
• AX7 Pro
• AX8 Pro

Det var inte bara ett enskilt antivirusprogram som reagerade. VideoCardz analyserade filen med FileScan.IO, MetaDefender och VirusTotal. Även YARAify rapporterade ClamAV-detektioner, bland annat Malware.Agentb och två signaturer kopplade till Asruex, varav en var märkt Win.Trojan.Asruex. Rapporter om samma filhash går tillbaka till december 2024.

Flera oberoende detektioner är tillräckligt för att man inte ska köra filen. Samtidigt bevisar skannerresultat ensamma inte exakt hur filen beter sig och utesluter inte alla möjligheter till felaktiga detektioner. Det finns heller ingen fastställd uppgift om hur många användare som berörts eller en fullständig teknisk analys av vad som händer efter körning.

Därför kan en drivrutinsinstallerare vara särskilt riskfylld

En drivrutinsinstallerare behöver vanligtvis administratörsbehörighet. Om den aktuella filen är skadlig skulle den behörighetsnivån kunna ge kod möjlighet att göra privilegierade ändringar i systemet, exponera data eller installera ytterligare komponenter. Tom’s Hardware varnade särskilt för att malware i en drivrutinsinstallerare kan få administratörsrättigheter.

Det är dock en riskbedömning – inte bevis för att just den här filen genomförde alla tänkbara åtgärder. Att testa den på en reservdator är därför inte en säker lösning.

Geekoms förklaring

Geekom uppger att installeraren låg kvar på en föråldrad supportsida efter att företaget ersatt sitt gamla supportsystem med ett nytt. Sidan hade inte längre någon vanlig plats i webbplatsens navigering, men den äldre resursen gick fortfarande att nå via länkar som sökmotorer hade indexerat.

Företaget säger att den interna granskningen inte hittade någon liknande avvikelse på de aktuella drivrutinssidorna. Geekom uppger också att varken företagets hårdvara eller Windows-installationen som levereras förinstallerad på mini-PC-datorerna berörs. Bolaget säger att de äldre filerna och sidorna tas bort och att rutinerna för resurshantering och granskning ska skärpas.

Geekom bad även VideoCardz att överväga att ta bort den ursprungliga artikeln. VideoCardz avstod eftersom kärnpåståendet var korrekt: filen gick att ladda ner från Geekoms egen infrastruktur, vilket företaget också bekräftade.

En central fråga är fortfarande obesvarad. Geekom har inte förklarat hur den malwareflaggade körbara filen hamnade i arkivet eller blev kvar på servrarna. Förklaringen om den gamla supportsidan beskriver varför filen fortfarande gick att nå – men inte var den ursprungligen kom ifrån.

Detta bör berörda användare göra

Om du har laddat ner arkivet eller fortfarande har installeraren på datorn är Geekoms rekommendationer tydliga:

1. Kör inte filen. Ta bort alla lokala kopior som inte har körts.
2. Genomsök datorn med Windows Security, Microsoft Defender eller ett annat välrenommerat antimalwareverktyg om filen har laddats ner eller körts.
3. Installera om nätverksdrivrutinen via Windows Update, komponenttillverkarens officiella webbplats eller Geekoms aktuella supportsidor – inte från det äldre arkivet.
4. Överväg en ren Windows-installation om installeraren har körts eller om du vill välja den mest försiktiga vägen. Tom’s Hardware rekommenderade i möjligaste mån en fullständig ominstallation, med en offlinegenomsökning i Defender som minsta försiktighetsåtgärd.

Det är viktigt att skilja på att ladda ner arkivet och att köra installeraren. En nedladdad fil kan raderas utan att det i sig visar att datorn har komprometterats. Det är körningen som kan ha gett installeraren förhöjda behörigheter.

Inte samma sak som AceMagic-incidenten

Geekom-fallet gäller en körbar fil i ett nedladdningsbart, äldre LAN-drivrutinsarkiv. Det är inte samma typ av händelse som en incident där malware har funnits i en fabriksinstallerad Windows-avbildning. Det tillgängliga underlaget säger uttryckligen att Geekoms förinstallerade operativsystem inte berördes.

Skillnaden påverkar hur man bedömer exponeringen. Användare som aldrig laddade ner eller körde den gamla drivrutinsinstalleraren har, enligt den information som finns, inte fått den flaggade filen via den Windows-miljö som levererades förinstallerad på datorn. Den som faktiskt körde filen bör däremot följa de mer omfattande råden om säkerhetsgenomsökning och ominstallation ovan.

Den låg i LAN-mappen i ett gemensamt drivrutinsarkiv för sex AMD-baserade mini-PC-serier:

• A7
• A8
• AE7
• AE8
• AX7 Pro
• AX8 Pro

Det var inte bara ett enskilt antivirusprogram som reagerade. VideoCardz analyserade filen med FileScan.IO, MetaDefender och VirusTotal. Även YARAify rapporterade ClamAV-detektioner, bland annat Malware.Agentb och två signaturer kopplade till Asruex, varav en var märkt Win.Trojan.Asruex. Rapporter om samma filhash går tillbaka till december 2024.

Flera oberoende detektioner är tillräckligt för att man inte ska köra filen. Samtidigt bevisar skannerresultat ensamma inte exakt hur filen beter sig och utesluter inte alla möjligheter till felaktiga detektioner. Det finns heller ingen fastställd uppgift om hur många användare som berörts eller en fullständig teknisk analys av vad som händer efter körning.

Därför kan en drivrutinsinstallerare vara särskilt riskfylld

En drivrutinsinstallerare behöver vanligtvis administratörsbehörighet. Om den aktuella filen är skadlig skulle den behörighetsnivån kunna ge kod möjlighet att göra privilegierade ändringar i systemet, exponera data eller installera ytterligare komponenter. Tom’s Hardware varnade särskilt för att malware i en drivrutinsinstallerare kan få administratörsrättigheter.

Det är dock en riskbedömning – inte bevis för att just den här filen genomförde alla tänkbara åtgärder. Att testa den på en reservdator är därför inte en säker lösning.

Geekoms förklaring

Geekom uppger att installeraren låg kvar på en föråldrad supportsida efter att företaget ersatt sitt gamla supportsystem med ett nytt. Sidan hade inte längre någon vanlig plats i webbplatsens navigering, men den äldre resursen gick fortfarande att nå via länkar som sökmotorer hade indexerat.

Företaget säger att den interna granskningen inte hittade någon liknande avvikelse på de aktuella drivrutinssidorna. Geekom uppger också att varken företagets hårdvara eller Windows-installationen som levereras förinstallerad på mini-PC-datorerna berörs. Bolaget säger att de äldre filerna och sidorna tas bort och att rutinerna för resurshantering och granskning ska skärpas.

Geekom bad även VideoCardz att överväga att ta bort den ursprungliga artikeln. VideoCardz avstod eftersom kärnpåståendet var korrekt: filen gick att ladda ner från Geekoms egen infrastruktur, vilket företaget också bekräftade.

En central fråga är fortfarande obesvarad. Geekom har inte förklarat hur den malwareflaggade körbara filen hamnade i arkivet eller blev kvar på servrarna. Förklaringen om den gamla supportsidan beskriver varför filen fortfarande gick att nå – men inte var den ursprungligen kom ifrån.

Detta bör berörda användare göra

Om du har laddat ner arkivet eller fortfarande har installeraren på datorn är Geekoms rekommendationer tydliga:

1. Kör inte filen. Ta bort alla lokala kopior som inte har körts.
2. Genomsök datorn med Windows Security, Microsoft Defender eller ett annat välrenommerat antimalwareverktyg om filen har laddats ner eller körts.
3. Installera om nätverksdrivrutinen via Windows Update, komponenttillverkarens officiella webbplats eller Geekoms aktuella supportsidor – inte från det äldre arkivet.
4. Överväg en ren Windows-installation om installeraren har körts eller om du vill välja den mest försiktiga vägen. Tom’s Hardware rekommenderade i möjligaste mån en fullständig ominstallation, med en offlinegenomsökning i Defender som minsta försiktighetsåtgärd.

Det är viktigt att skilja på att ladda ner arkivet och att köra installeraren. En nedladdad fil kan raderas utan att det i sig visar att datorn har komprometterats. Det är körningen som kan ha gett installeraren förhöjda behörigheter.

Inte samma sak som AceMagic-incidenten

Geekom-fallet gäller en körbar fil i ett nedladdningsbart, äldre LAN-drivrutinsarkiv. Det är inte samma typ av händelse som en incident där malware har funnits i en fabriksinstallerad Windows-avbildning. Det tillgängliga underlaget säger uttryckligen att Geekoms förinstallerade operativsystem inte berördes.

Skillnaden påverkar hur man bedömer exponeringen. Användare som aldrig laddade ner eller körde den gamla drivrutinsinstalleraren har, enligt den information som finns, inte fått den flaggade filen via den Windows-miljö som levererades förinstallerad på datorn. Den som faktiskt körde filen bör däremot följa de mer omfattande råden om säkerhetsgenomsökning och ominstallation ovan.