Geekoms officiella drivrutinsarkiv innehöll en malwareflaggad LAN-installerare

En Reddit-användare slog larm om ett drivrutinsarkiv från Geekom. Den 15 augusti 2026 laddade VideoCardz ner samma paket direkt från Geekoms webbplats och hittade den misstänkta körbara filen där. Geekom bekräftade senare att filen hade legat på företagets supportinfrastruktur, bad om ursäkt och tog bort de berörda äldre resurserna.

Det tillgängliga underlaget räcker för att behandla installeraren som osäker. Däremot visar det inte att Geekom medvetet distribuerade malware, hur filen hamnade på servrarna, hur många som kan ha kört den eller exakt vad den gjorde på drabbade datorer.

Filen som utlöste varningarna

Den aktuella filen heter:

Install_PCIE_Win11_11.10.0720.2022_11222022.exe

Den låg i LAN-mappen i ett gemensamt drivrutinsarkiv för sex AMD-baserade mini-PC-serier:

• A7
• A8
• AE7
• AE8
• AX7 Pro
• AX8 Pro

Det var inte bara ett enskilt antivirusprogram som reagerade. VideoCardz analyserade filen med FileScan.IO, MetaDefender och VirusTotal. Även YARAify rapporterade ClamAV-detektioner, bland annat Malware.Agentb och två signaturer kopplade till Asruex, varav en var märkt Win.Trojan.Asruex. Rapporter om samma filhash går tillbaka till december 2024.

Flera oberoende detektioner är tillräckligt för att man inte ska köra filen. Samtidigt bevisar skannerresultat ensamma inte exakt hur filen beter sig och utesluter inte alla möjligheter till felaktiga detektioner. Det finns heller ingen fastställd uppgift om hur många användare som berörts eller en fullständig teknisk analys av vad som händer efter körning.

Därför kan en drivrutinsinstallerare vara särskilt riskfylld

En drivrutinsinstallerare behöver vanligtvis administratörsbehörighet. Om den aktuella filen är skadlig skulle den behörighetsnivån kunna ge kod möjlighet att göra privilegierade ändringar i systemet, exponera data eller installera ytterligare komponenter. Tom’s Hardware varnade särskilt för att malware i en drivrutinsinstallerare kan få administratörsrättigheter.

Det är dock en riskbedömning – inte bevis för att just den här filen genomförde alla tänkbara åtgärder. Att testa den på en reservdator är därför inte en säker lösning.

Geekoms förklaring

Geekom uppger att installeraren låg kvar på en föråldrad supportsida efter att företaget ersatt sitt gamla supportsystem med ett nytt. Sidan hade inte längre någon vanlig plats i webbplatsens navigering, men den äldre resursen gick fortfarande att nå via länkar som sökmotorer hade indexerat.

Företaget säger att den interna granskningen inte hittade någon liknande avvikelse på de aktuella drivrutinssidorna. Geekom uppger också att varken företagets hårdvara eller Windows-installationen som levereras förinstallerad på mini-PC-datorerna berörs. Bolaget säger att de äldre filerna och sidorna tas bort och att rutinerna för resurshantering och granskning ska skärpas.

Geekom bad även VideoCardz att överväga att ta bort den ursprungliga artikeln. VideoCardz avstod eftersom kärnpåståendet var korrekt: filen gick att ladda ner från Geekoms egen infrastruktur, vilket företaget också bekräftade.

En central fråga är fortfarande obesvarad. Geekom har inte förklarat hur den malwareflaggade körbara filen hamnade i arkivet eller blev kvar på servrarna. Förklaringen om den gamla supportsidan beskriver varför filen fortfarande gick att nå – men inte var den ursprungligen kom ifrån.

Detta bör berörda användare göra

Om du har laddat ner arkivet eller fortfarande har installeraren på datorn är Geekoms rekommendationer tydliga:

1. Kör inte filen. Ta bort alla lokala kopior som inte har körts.
2. Genomsök datorn med Windows Security, Microsoft Defender eller ett annat välrenommerat antimalwareverktyg om filen har laddats ner eller körts.
3. Installera om nätverksdrivrutinen via Windows Update, komponenttillverkarens officiella webbplats eller Geekoms aktuella supportsidor – inte från det äldre arkivet.
4. Överväg en ren Windows-installation om installeraren har körts eller om du vill välja den mest försiktiga vägen. Tom’s Hardware rekommenderade i möjligaste mån en fullständig ominstallation, med en offlinegenomsökning i Defender som minsta försiktighetsåtgärd.

Det är viktigt att skilja på att ladda ner arkivet och att köra installeraren. En nedladdad fil kan raderas utan att det i sig visar att datorn har komprometterats. Det är körningen som kan ha gett installeraren förhöjda behörigheter.

Inte samma sak som AceMagic-incidenten

Geekom-fallet gäller en körbar fil i ett nedladdningsbart, äldre LAN-drivrutinsarkiv. Det är inte samma typ av händelse som en incident där malware har funnits i en fabriksinstallerad Windows-avbildning. Det tillgängliga underlaget säger uttryckligen att Geekoms förinstallerade operativsystem inte berördes.

Skillnaden påverkar hur man bedömer exponeringen. Användare som aldrig laddade ner eller körde den gamla drivrutinsinstalleraren har, enligt den information som finns, inte fått den flaggade filen via den Windows-miljö som levererades förinstallerad på datorn. Den som faktiskt körde filen bör däremot följa de mer omfattande råden om säkerhetsgenomsökning och ominstallation ovan.