// COMPUTERBASE — CYBERSECURITY
Verseuchte Treiber: Geekom zeigt sich nach Malware-Vorfall reumütig
Eine ausführbare Datei in einem Treiberarchiv für sechs Geekom-Mini-PCs enthielt eine Backdoor. Obwohl die manipulierte Software bereits Ende 2024 aufgefallen war, blieb sie über eine veraltete Support-Seite erreichbar. Geekom hat die Datei inzwischen entfernt und sich bei den Nutzern entschuldigt.
Betroffen war ein gemeinsames Treiberarchiv für die Geekom-Modelle A7, A8, AE7, AE8, AX7 Pro und AX8 Pro. Darin befand sich im Ordner für den LAN-Treiber eine manipulierte ausführbare Datei mit dem Namen „Install_PCIE_Win11_11.10.0720.2022_11222022.exe“. Mehrere Analysedienste erkannten darin Varianten der Malware Asruex.
Aufgefallen war die Datei zuletzt einem Nutzer auf Reddit, der nach dem Austausch seiner SSD Windows neu installiert und das rund 1,1 GB große Treiberpaket von Geekom heruntergeladen hatte. VideoCardz konnte den Fund anschließend mit VirusTotal, FileScan.io, MetaDefender und YARAify nachvollziehen. Die Erkennungen beschränkten sich demnach nicht auf eine einzelne Sicherheitssoftware.
Asruex ist eine Backdoor, über die ein Angreifer weitere Dateien einschleusen und auf ein kompromittiertes System zugreifen kann. Im ComputerBase-Forum war genau dieser Fund allerdings bereits Ende Dezember 2024 ein Thema. PcFrk, Besitzer des Geekom AE8 meldete damals, dass Microsoft Defender beim Entpacken des von der Herstellerseite geladenen Pakets „Trojan/Asruex.A“ erkannt habe.
Community-Mitglied PC295 untersuchte die Datei daraufhin näher und kam zu dem Ergebnis, dass es sich um eine manipulierte Version des Realtek-Ethernet-Treibers handelte. Im Archiv habe sich neben dem Original eine veränderte Installationsdatei befunden, die zusätzlich eine Datei im AppData-Verzeichnis ablegte. Auch der damals verlinkte VirusTotal-Bericht bezieht sich auf denselben SHA-256-Hash wie der aktuelle Fund.
Nachdem VideoCardz über die Malware berichtet hatte, bestätigte Geekom den Vorfall. Die Datei habe auf einer veralteten Support-Seite gelegen, die beim Wechsel auf das neuere Support-System nicht rechtzeitig entfernt worden sei. Über die reguläre Navigation sei die Seite zwar nicht mehr erreichbar gewesen, Suchmaschinen hätten sie aber weiterhin erfasst und Nutzern als Ergebnis angeboten.
„Wir möchten uns aufrichtig entschuldigen“, erklärt Geekom in der gegenüber VideoCardz abgegebenen Stellungnahme. Der Hersteller habe die aktuell angebotenen Treiber überprüft und dort keine vergleichbaren Auffälligkeiten gefunden. Die betroffenen Dateien und veralteten Seiten würden nun entfernt. Zusätzlich wolle das Unternehmen seine Prüf- und Verwaltungsprozesse verschärfen.
Wie die manipulierte Datei ursprünglich auf die Server gelangte und warum sie trotz der ersten Meldungen Ende 2024 noch mehr als anderthalb Jahre erreichbar blieb, erklärt Geekom nicht. Der Hersteller bat VideoCardz außerdem darum, den ursprünglichen Bericht zu löschen. Die Redaktion lehnte dies mit Verweis auf den von Geekom bestätigten Sachverhalt ab.
Nach Angaben des Herstellers befand sich die Malware ausschließlich in dem herunterladbaren Treiberarchiv. Die ab Werk auf den Mini-PCs installierte Windows-Version sei nicht betroffen. Allein der Besitz eines der genannten Modelle bedeute daher noch keine Infektion.
Wer das betroffene LAN-Paket heruntergeladen hat, soll die Installationsdatei löschen und das System vollständig mit Microsoft Defender oder einer anderen Sicherheitslösung untersuchen. Wurde die Datei bereits ausgeführt, nennt Geekom eine Neuinstallation von Windows mit einem offiziellen Microsoft-Abbild als zusätzliche Vorsichtsmaßnahme. Der Netzwerktreiber sollte anschließend über Windows Update, Realtek oder die aktuelle Geekom-Support-Seite bezogen werden.