В офіційному архіві драйверів міні-ПК GEEKOM знайшли файл із malware-детекціями

Першим про проблему повідомив користувач Reddit. 15 серпня 2026 року видання VideoCardz незалежно перевірило знахідку: завантажило архів безпосередньо із сайту GEEKOM і виявило в ньому той самий виконуваний файл. Згодом GEEKOM підтвердила, що файл справді був розміщений на її інфраструктурі підтримки, вибачилася та видалила пов’язані застарілі ресурси.

Наявні дані достатні, щоб вважати інсталятор небезпечним і не запускати його. Водночас вони не доводять, що GEEKOM навмисно поширювала шкідливе програмне забезпечення, не пояснюють, як файл потрапив на сервери компанії, скільки людей його запустили та які саме дії він виконував у системах користувачів.

Який файл виявили

Проблемний виконуваний файл називається:

Install_PCIE_Win11_11.10.0720.2022_11222022.exe

Він знаходився в папці LAN-драйвера спільного архіву, призначеного для шести сімейств міні-ПК GEEKOM на базі AMD:

• A7
• A8
• AE7
• AE8
• AX7 Pro
• AX8 Pro

Файл не був позначений лише одним антивірусним продуктом. VideoCardz перевірило його за допомогою FileScan.IO, MetaDefender і VirusTotal. Сервіс YARAify також зафіксував детекції ClamAV, зокрема Malware.Agentb і дві сигнатури, пов’язані з Asruex, одна з яких має назву Win.Trojan.Asruex. Звіти щодо того самого хешу файлу датувалися ще груднем 2024 року.

Кілька незалежних детекцій — достатня причина не запускати інсталятор. Водночас самі результати сканерів не описують повністю поведінку файлу та не виключають абсолютно всі варіанти хибного спрацювання. Наразі також не встановлено кількість потенційних жертв і наслідки запуску саме цього файла.

Чому запуск міг бути небезпечним

Інсталятори драйверів зазвичай потребують прав адміністратора. Якби цей виконуваний файл був шкідливим, такі права могли б дозволити йому вносити привілейовані зміни до системи, отримувати доступ до даних або встановлювати додаткові компоненти. Tom’s Hardware окремо попередило, що шкідливий код усередині інсталятора драйвера може отримати права адміністратора.

Це оцінка потенційного ризику, а не доказ того, що саме цей файл виконав усі перелічені дії. Тому не варто запускати його навіть на запасному чи тестовому комп’ютері.

Що пояснила GEEKOM

За словами GEEKOM, інсталятор залишався доступним на застарілій сторінці підтримки після переходу компанії на новішу систему. Сторінка вже не була частиною звичайної навігації сайту, однак старий ресурс залишався доступним за посиланнями, проіндексованими пошуковими системами.

Компанія заявила, що під час перевірки не виявила аналогічної проблеми на актуальних сторінках із драйверами. Також GEEKOM наголосила, що інцидент не стосується апаратного забезпечення її міні-ПК або Windows, попередньо встановленої на цих пристроях. Компанія повідомила про видалення застарілих файлів і сторінок та посилення процедур керування ресурсами й перевірки публікацій.

GEEKOM також попросила VideoCardz розглянути можливість видалення початкового матеріалу. Видання відмовилося, зазначивши, що його ключове твердження було правильним: файл можна було завантажити з інфраструктури самої GEEKOM, і компанія це підтвердила.

Водночас важливе питання досі залишається без відповіді. GEEKOM не пояснила, як саме виконуваний файл із malware-детекціями потрапив до архіву або чому залишався доступним на її серверах. Пояснення про застарілу сторінку описує, чому файл можна було знайти, але не розкриває його первісне походження.

Що робити користувачам

Якщо ви завантажували цей архів або досі маєте інсталятор, дотримуйтеся таких кроків:

1. Не запускайте виконуваний файл. Видаліть усі локальні копії, які не були запущені.
2. Проскануйте комп’ютер за допомогою Windows Security, Microsoft Defender або іншого надійного антивірусного інструмента, якщо файл було завантажено чи запущено.
3. Замініть мережевий драйвер, використовуючи Windows Update, офіційний ресурс виробника компонента або актуальні сторінки підтримки GEEKOM — не старий архів.
4. Розгляньте чисте встановлення Windows, якщо ви запускали інсталятор або хочете максимально обережний варіант. Tom’s Hardware радить за можливості повністю очистити систему, а мінімальним запобіжним заходом називає автономну перевірку Microsoft Defender.

Важливо розрізняти завантаження архіву та запуск інсталятора. Сам факт завантаження файла ще не доводить компрометацію системи: його можна видалити. Натомість запуск міг надати інсталятору підвищені права доступу.

Чим цей випадок відрізняється від інциденту AceMagic

У випадку GEEKOM йдеться про виконуваний файл у доступному для завантаження архіві застарілих LAN-драйверів. Це не те саме, що інцидент із шкідливим програмним забезпеченням у заводському образі Windows: надані дані прямо вказують, що попередньо встановлена операційна система на міні-ПК GEEKOM не була затронута.

Ця різниця важлива для оцінки масштабу ризику. Користувачі GEEKOM, які не завантажували й не запускали старий інсталятор, за наданими матеріалами не отримували цей файл через попередньо встановлене середовище Windows. Тим, хто його запускав, варто виконати ретельне сканування та, за потреби, перевстановити систему.